What's new arround internet
| Src | Date (GMT) | Titre | Description | Tags | Stories | Notes |
 |
2024-01-29 13:51:49 | 29 janvier & # 8211;Rapport de renseignement sur les menaces 29th January – Threat Intelligence Report (lien direct) |
> Pour les dernières découvertes en cyberLes meilleures attaques et violations à la suite des rapports sur l'APT29 affiliée à la Russie (alias Cozy Bear, Midnight Blizzard) contre Microsoft, également Hewlett-Packard Enterprise ont reconnu avoir été attaqué par le même acteur de menace.Tandis que Microsoft a détecté la violation de janvier [& # 8230;]
>For the latest discoveries in cyber research for the week of 29th January, please download our Threat_Intelligence Bulletin. TOP ATTACKS AND BREACHES Following the reports on Russia-affiliated APT29 (AKA Cozy Bear, Midnight Blizzard) attack against Microsoft, also Hewlett-Packard Enterprise acknowledged it was attacked by the same threat actor. While Microsoft detected the breach on January […] |
Threat | APT 29 | ★★ |
 |
2024-01-26 11:33:00 | Microsoft met en garde contre l'élargissement des attaques d'espionnage APT29 ciblant les orgs mondiaux Microsoft Warns of Widening APT29 Espionage Attacks Targeting Global Orgs (lien direct) |
Microsoft a déclaré jeudi que les acteurs de la menace parrainés par l'État russe responsables de A & NBSP; Cyber Attack contre ses systèmes et NBSP; fin novembre 2023 ont ciblé d'autres organisations et qu'elle commence actuellement à les informer.
Le développement intervient un jour après que Hewlett Packard Enterprise (HPE) & NBSP; a révélé & nbsp; qu'il avait été victime d'une attaque perpétrée par un équipage de piratage
Microsoft on Thursday said the Russian state-sponsored threat actors responsible for a cyber attack on its systems in late November 2023 have been targeting other organizations and that it\'s currently beginning to notify them. The development comes a day after Hewlett Packard Enterprise (HPE) revealed that it had been the victim of an attack perpetrated by a hacking crew |
Threat | APT 29 | ★★★ |
 |
2024-01-25 09:30:00 | HPE dit que les pirates Solarwinds ont accédé à ses e-mails HPE Says SolarWinds Hackers Accessed its Emails (lien direct) |
Hewlett Packard Enterprise révèle que l'État russe APT29 pirates a volé des données dans les boîtes aux lettres d'entreprise
Hewlett Packard Enterprise reveals that Russian state APT29 hackers stole data from corporate mailboxes |
APT 29 | ★★★ | |
 |
2024-01-24 22:15:00 | Hewlett Packard Enterprise dit à SEC qu'elle a été violée par la Russie \\ 'S \\' Cozy Bear \\ 'Hackers Hewlett Packard Enterprise tells SEC it was breached by Russia\\'s \\'Cozy Bear\\' hackers (lien direct) |
Des pirates avec des liens présumés avec le gouvernement russe ont eu accès au fabricant de technologies Hewlett Packard Enterprise Co. \'S (HPE) Environnement de messagerie basé sur le cloud, a annoncé mercredi la société.Dans un Déposant avec des régulateurs SEC le mercredi après-midi, HPE a déclaré qu'il avait été informé le 12 décembre que des pirates se connectaient à confort
Hackers with suspected ties to the Russian government gained access to the technology manufacturer Hewlett Packard Enterprise Co.\'s (HPE) cloud-based email environment, the company said Wednesday. In a filing with SEC regulators on Wednesday afternoon, HPE said it was notified on December 12 that hackers connected to Cozy Bear, also known as Midnight Blizzard, had |
APT 29 | ★★★ | |
 |
2024-01-20 14:45:06 | Les pirates russes gagnent gros: les e-mails de l'équipe d'exécution senior de Microsoft \\ Russian Hackers Win Big: Microsoft\\'s Senior Exec Team Emails Breached (lien direct) |
dans un vendredi Fileling de réglementation , Microsoft a euont indiqué que ses comptes de messagerie d'entreprise ont été compromis par un groupe de piratage parrainé par l'État russe connu sous le nom de Midnight Blizzard, également identifié comme Nobelium ou APT29.La divulgation de Microsoft s'aligne sur les nouvelles exigences américaines pour la déclaration des incidents de cybersécurité.L'attaque a été détectée le 12 janvier 2023, mais elle semble avoir commencé en novembre 2023. La brèche et l'attaque L'attaque a impliqué des pirates russes à l'aide d'une attaque en pulvérisation de mot de passe pour accéder à un compte de locataire de test non production hérité de Microsoft.La pulvérisation de mot de passe est une technique de force brute où les attaquants tentent de se connecter à l'aide d'une liste de noms d'utilisateur et de mots de passe potentiels.
In a Friday regulatory filing, Microsoft has reported that its corporate email accounts were compromised by a Russian state-sponsored hacking group known as Midnight Blizzard, also identified as Nobelium or APT29. Microsoft\'s disclosure aligns with new U.S. requirements for reporting cybersecurity incidents. The attack was detected on January 12th, 2023, but it appears to have started in November 2023.The Breach and AttackThe attack involved Russian hackers using a password spray attack to access a legacy non-production test tenant account at Microsoft. Password spraying is a brute force technique where attackers attempt to log in using a list of potential usernames and passwords. |
APT 29 | ★★★ | |
 |
2023-12-20 21:21:37 | Russian Foreign Intelligence Service (SVR) exploitant JetBrains TeamCity Cve dans le monde entier Russian Foreign Intelligence Service (SVR) Exploiting JetBrains TeamCity CVE Globally (lien direct) |
#### Description
Russian Foreign Intelligence Service (SVR) Cyber Actors - également connu sous le nom de menace persistante avancée 29 (APT 29), The Dukes, Cozybear et Nobelium / Midnight Blizzard-est exploitant CVE-2023-42793 à grande échelle, ciblant les serveurs hébergeant JetBrains TeamCityLogiciel depuis septembre 2023.
Les développeurs de logiciels utilisent TeamCity Software pour gérer et automatiser la compilation de logiciels, la construction, les tests et la libération.S'il est compromis, l'accès à un serveur TeamCity offrirait aux acteurs malveillants un accès au code source de ce développeur de logiciels, à la signature des certificats et à la possibilité de sous-publier des processus de compilation et de déploiement des logiciels - Accéder à un acteur malveillant pourrait utiliser davantage pour effectuer une chaîne d'approvisionnementopérations.Bien que le SVR ait utilisé un tel accès pour compromettre Solarwinds et ses clients en 2020, un nombre limité et des types de victimes apparemment opportunistes actuellement identifiés, indiquent que le SVR n'a pas utilisé l'accès accordé par TeamCity CVE d'une manière similaire.Le SVR a cependant été observé en utilisant l'accès initial glané en exploitant le CVE de TeamCity pour augmenter ses privilèges, se déplacer latéralement, déployer des délais supplémentaires et prendre d'autres mesures pour garantir un accès persistant et à long terme aux environnements réseau compromis.
#### URL de référence (s)
1. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-347a
#### Date de publication
12 décembre 2023
#### Auteurs)
Cisa
#### Description Russian Foreign Intelligence Service (SVR) cyber actors-also known as Advanced Persistent Threat 29 (APT 29), the Dukes, CozyBear, and NOBELIUM/Midnight Blizzard-are exploiting CVE-2023-42793 at a large scale, targeting servers hosting JetBrains TeamCity software since September 2023. Software developers use TeamCity software to manage and automate software compilation, building, testing, and releasing. If compromised, access to a TeamCity server would provide malicious actors with access to that software developer\'s source code, signing certificates, and the ability to subvert software compilation and deployment processes-access a malicious actor could further use to conduct supply chain operations. Although the SVR used such access to compromise SolarWinds and its customers in 2020, limited number and seemingly opportunistic types of victims currently identified, indicate that the SVR has not used the access afforded by the TeamCity CVE in a similar manner. The SVR has, however, been observed using the initial access gleaned by exploiting the TeamCity CVE to escalate its privileges, move laterally, deploy additional backdoors, and take other steps to ensure persistent and long-term access to the compromised network environments. #### Reference URL(s) 1. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-347a #### Publication Date December 12, 2023 #### Author(s) CISA |
Threat | APT 29 | ★★★ |
 |
2023-12-15 00:15:19 | L'APT29 russe a piraté le géant biomédical des États-Unis en violation liée à l'équipe Russian APT29 Hacked US Biomedical Giant in TeamCity-Linked Breach (lien direct) |
> Par waqas
Les autorités polonaises et les laboratoires Fortiguard ont émis un avertissement aux clients d'une nouvelle vague de cyberattaques associées à TeamCity.
Ceci est un article de HackRead.com Lire le post original: L'APT29 russe a piraté le géant biomédical américain en violation liée à l'équipe
>By Waqas Polish authorities and FortiGuard Labs have issued a warning to customers about a new wave of cyberattacks associated with TeamCity. This is a post from HackRead.com Read the original post: Russian APT29 Hacked US Biomedical Giant in TeamCity-Linked Breach |
APT 29 | ★★ | |
|
2023-12-14 16:02:00 | L'APT29 lié à la SVR russe cible les serveurs d'équipe Jetbrains dans les attaques en cours Russian SVR-Linked APT29 Targets JetBrains TeamCity Servers in Ongoing Attacks (lien direct) |
Les acteurs de la menace affiliés au Russian Foreign Intelligence Service (SVR) ont ciblé les serveurs d'équipe Jet-Brains non corrigés dans des attaques généralisées depuis septembre 2023.
L'activité a été liée à un groupe d'État-nation connu sous le nom de & nbsp; APT29, qui est également suivi sous le nom de Bluebravo, Ursa, confortable, confortable, blizzard Midnight (anciennement Nobelium) et The Dukes.Il est notable pour la chaîne d'approvisionnement
Threat actors affiliated with the Russian Foreign Intelligence Service (SVR) have targeted unpatched JetBrains TeamCity servers in widespread attacks since September 2023. The activity has been tied to a nation-state group known as APT29, which is also tracked as BlueBravo, Cloaked Ursa, Cozy Bear, Midnight Blizzard (formerly Nobelium), and The Dukes. It\'s notable for the supply chain |
Threat | APT 29 | ★★ |
|
2023-12-14 15:30:00 | Les pirates d'ours confortables ciblent les serveurs TeamCity JetBrains dans Global Campaign Cozy Bear Hackers Target JetBrains TeamCity Servers in Global Campaign (lien direct) |
Le FBI et la CISA ont détecté que les pirates liés au service de renseignement étranger russe (SVR) visent une vulnérabilité de JetBrains TeamCity depuis septembre 2023
The FBI and CISA detected that hackers linked to the Russian foreign intelligence service (SVR) have been targeting a JetBrains TeamCity vulnerability since September 2023 |
Vulnerability | APT 29 | ★★★ |
 |
2023-12-13 23:26:00 | L'exploitation mondiale de l'équipe ouvre la porte au cauchemar de style solarwinds Global TeamCity Exploitation Opens Door to SolarWinds-Style Nightmare (lien direct) |
L'APT29 de la Russie va après une faille critique dans la plate-forme de développeur de logiciels d'équipe JetBrains, ce qui a incité les gouvernements du monde entier à émettre un avertissement urgent au patch.
Russia\'s APT29 is going after a critical RCE flaw in the JetBrains TeamCity software developer platform, prompting governments worldwide to issue an urgent warning to patch. |
Threat | APT 29 | ★★★ |
 |
2023-12-13 15:00:00 | TeamCity Intrusion Saga: APT29 suspecté parmi les attaquants exploitant CVE-2023-42793 TeamCity Intrusion Saga: APT29 Suspected Among the Attackers Exploiting CVE-2023-42793 (lien direct) |
FortiGuardLabs a découvert une nouvelle campagne APT29 qui comprend l'équipe d'exploitation de TeamCity et GraphicalProton malware.Apprendre encore plus.
FortiGuardLabs discovered a new APT29 campaign which includes TeamCity exploitation and GraphicalProton malware. Learn more. |
Malware | APT 29 | ★★★ |
 |
2023-11-24 09:30:46 | APT 29 exploite WinRAR pour attaquer des ambassades en Europe (lien direct) | APT 29 exploite WinRAR pour attaquer des ambassades en Europe. Benoit Grunemwald - Expert en Cybersécurité chez ESET France réagit - Malwares | APT 29 APT 29 | ★★★ | |
|
2023-11-20 10:00:00 | L'APT29 de la Russie cible les ambassades avec Ngrok et Winrar Exploit Russia\\'s APT29 Targets Embassies With Ngrok and WinRAR Exploit (lien direct) |
Le groupe de menaces peut rechercher Intel sur l'Azerbaïdjan
Threat group may be looking for intel on Azerbaijan |
Threat | APT 29 APT 29 | ★★★ |
 |
2023-11-19 11:14:25 | Les pirates russes utilisent la fonctionnalité Ngrok et l'exploit Winrar pour attaquer les ambassades Russian hackers use Ngrok feature and WinRAR exploit to attack embassies (lien direct) |
Après Sandworm et APT28 (connu sous le nom de Fancy Bear), un autre groupe de pirates russes parrainé par l'État, APT29, tire parti de la vulnérabilité CVE-2023-38831 dans Winrar pour les cyberattaques.[...]
After Sandworm and APT28 (known as Fancy Bear), another state-sponsored Russian hacker group, APT29, is leveraging the CVE-2023-38831 vulnerability in WinRAR for cyberattacks. [...] |
Vulnerability Threat | APT 29 APT 28 | ★★★ |
|
2023-11-14 16:34:00 | Opération de cyber-espionnage sur les ambassades liées aux pirates confortables de la Russie Cyber-espionage operation on embassies linked to Russia\\'s Cozy Bear hackers (lien direct) |
Les pirates russes parrainés par l'État ont ciblé des ambassades et des organisations internationales dans une récente campagne de cyber-espionnage, ont révélé que les chercheurs du gouvernement ukrainien ont révélé.Les attaques ont été attribuées au tristement célèbre groupe de pirates étiqueté APT29, également connu sous le nom de confortable ours ou de bravo bleu.Auparavant, les analystes l'ont lié au service de renseignement étranger de la Russie (SVR), qui rassemble
Russian state-sponsored hackers have targeted embassies and international organizations in a recent cyber-espionage campaign, Ukrainian government cybersecurity researchers have found. The attacks were attributed to the infamous hacker group labeled APT29, also known as Cozy Bear or Blue Bravo. Analysts previously have linked it to Russia\'s Foreign Intelligence Service (SVR), which gathers political and economic |
APT 29 APT 29 | ★★★ | |
|
2023-10-30 17:54:13 | La SEC poursuit Solarwinds pour les investisseurs trompeurs avant 2020 Hack SEC sues SolarWinds for misleading investors before 2020 hack (lien direct) |
La Commission américaine des Securities and Exchange (SEC) a accusé aujourd'hui des solarwind de frauder les investisseurs en dissimulant prétendument les problèmes de défense de la cybersécurité avant une division de piratage de décembre 2020 à l'APT29, la division de piratage du Russian Foreign Intelligence Service (SVR).[...]
The U.S. Securities and Exchange Commission (SEC) today charged SolarWinds with defrauding investors by allegedly concealing cybersecurity defense issues before a December 2020 linked to APT29, the Russian Foreign Intelligence Service (SVR) hacking division. [...] |
Hack | Solardwinds APT 29 | ★★★ |
|
2023-10-23 02:22:16 | 2023 août & # 8211;Rapport de tendance des menaces sur les groupes APT 2023 Aug – Threat Trend Report on APT Groups (lien direct) |
août 2023 Problèmes majeurs sur les groupes de l'APT 1) Andariel 2) APT29 3) APT31 4) amer 5)Bronze Starlight 6) Callisto 7) Cardinbee 8) Typhoon de charbon de bois (Redhotel) 9) Terre estrie 10) Typhon de lin 11) Groundpeony 12) Chisel infâme 13) Kimsuky 14) Lazarus 15)Moustachedbouncher 16) Éléphant mystérieux (APT-K-47) 17) Nobelium (Blizzard de minuit) 18) Red Eyes (APT37) Aug_Thereat Trend Rapport sur les groupes APT
August 2023 Major Issues on APT Groups 1) Andariel 2) APT29 3) APT31 4) Bitter 5) Bronze Starlight 6) Callisto 7) Carderbee 8) Charcoal Typhoon (RedHotel) 9) Earth Estries 10) Flax Typhoon 11) GroundPeony 12) Infamous Chisel 13) Kimsuky 14) Lazarus 15) MoustachedBouncher 16) Mysterious Elephant (APT-K-47) 17) Nobelium (Midnight Blizzard) 18) Red Eyes (APT37) Aug_Threat Trend Report on APT Groups |
Threat Prediction | APT 38 APT 38 APT 37 APT 29 APT 31 | ★★★ |
 |
2023-09-21 09:00:00 | Diplomatie de backchannel: les opérations de phishing diplomatique en évolution rapide de l'APT29 Backchannel Diplomacy: APT29\\'s Rapidly Evolving Diplomatic Phishing Operations (lien direct) |
Insights de clé
Le rythme d'opérations d'APT29 \\ et l'accent mis sur l'Ukraine a augmenté au cours de la première moitié de 2023 alors que Kyiv a lancé sa contre-offensive, pointantau rôle central du SVR \\ dans la collecte d'intelligence concernant la phase pivot actuelle de la guerre.
Pendant cette période, Mandiant a suivi des changements substantiels dans l'outillage et le métier d'Apt29 \\, probablement conçus pour soutenir la fréquence et la portée accrues deopérations et entraver l'analyse médico-légale.
apt29 a utilisé diverses chaînes d'infection simultanément sur différentes opérations, indiquant que les opérateurs d'accès initiaux distincts ou
Key Insights APT29\'s pace of operations and emphasis on Ukraine increased in the first half of 2023 as Kyiv launched its counteroffensive, pointing to the SVR\'s central role in collecting intelligence concerning the current pivotal phase of the war. During this period, Mandiant has tracked substantial changes in APT29\'s tooling and tradecraft, likely designed to support the increased frequency and scope of operations and hinder forensic analysis. APT29 has used various infection chains simultaneously across different operations, indicating that distinct initial access operators or |
APT 29 | ★★★ | |
|
2023-09-11 05:02:48 | Rapport de tendance des menaces sur les groupes APT & # 8211;Juillet 2023 Threat Trend Report on APT Groups – July 2023 (lien direct) |
juillet 2023 Problèmes majeurs sur les groupes APT 1) APT28 2) APT29 3) APT31 4) Camouflaged Hunter 5) Chicheur charmant 6) Gamaredon 7) Kimsuky 8) Konni 9) Lazarus 10) Mustang Panda 11) Patchwork 12) Eyes rouges 13) Pirates d'espace 14) Turla 15) ATIP_2023_JUL_JULAT RAPPORT D'APTER LE Rapport sur les APT
July 2023 Major Issues on APT Groups 1) APT28 2) APT29 3) APT31 4) Camouflaged Hunter 5) Charming Kitten 6) Gamaredon 7) Kimsuky 8) Konni 9) Lazarus 10) Mustang Panda 11) Patchwork 12) Red Eyes 13) Space Pirates 14) Turla 15) Unclassified ATIP_2023_Jul_Threat Trend Report on APT Groups |
Threat Prediction | APT 38 APT 37 APT 37 APT 35 APT 35 APT 29 APT 29 APT 28 APT 28 APT 31 | ★★ |
|
2023-08-17 15:09:00 | Les pirates russes utilisent une application de chat Zulip pour C & C Covert dans les attaques de phishing diplomatique Russian Hackers Use Zulip Chat App for Covert C&C in Diplomatic Phishing Attacks (lien direct) |
Une campagne en cours ciblant les ministères des affaires étrangères des pays alignés de l'OTAN souligne la participation des acteurs de la menace russe.
Les attaques de phishing présentent des documents PDF avec des leurres diplomatiques, dont certains sont déguisés en provenance d'Allemagne, pour livrer une variante d'un malware appelé Duke, qui a été attribué à l'APT29 (aka Bluebravo, Ursa enroulé, confortable, Hemlock, fer, Hemlock,
An ongoing campaign targeting ministries of foreign affairs of NATO-aligned countries points to the involvement of Russian threat actors. The phishing attacks feature PDF documents with diplomatic lures, some of which are disguised as coming from Germany, to deliver a variant of a malware called Duke, which has been attributed to APT29 (aka BlueBravo, Cloaked Ursa, Cozy Bear, Iron Hemlock, |
Malware Threat | APT 29 | ★★ |
|
2023-08-06 14:22:10 | Les pirates russes ont violé les agences gouvernementales \\ 'MFA utilisant des équipes Microsoft: votre entreprise est-elle la prochaine? Russian Hackers Breached Government Agencies\\' MFA Using Microsoft Teams: Is Your Business Next? (lien direct) |
récent de Microsoft \\ Article de blog Les sourcils ont haussé les sourcils à travers la communauté de la cybersécurité.Les pirates d'État liés à la Russie, connus sous le nom d'APT29 ou confortable, ont exécuté des attaques de phishing «hautement ciblées» via la plate-forme des équipes de Microsoft \\.Ce sont les mêmes pirates derrière l'historique Solarwinds Hack en 2020 et la violation de 2016 du Comité national démocrate. La méthode était à la fois sophistiquée et alarmante.En compromettant les comptes Microsoft 365 appartenant à des petites entreprises, les pirates ont créé des domaines pour tromper leurs cibles via des messages Microsoft Teams.Ils ont engagé des utilisateurs et obtenu l'approbation des invites en MFA, contournant ce qui est généralement considéré comme une mesure de sécurité robuste. & Nbsp;
Microsoft\'s recent blog post raised eyebrows through the cybersecurity community. State-backed hackers linked to Russia, known as APT29 or Cozy Bear, have executed “highly targeted” phishing attacks through Microsoft\'s Teams platform. These are the same hackers behind the historic SolarWinds hack in 2020 and the 2016 breach of the Democratic National Committee.The method was both sophisticated and alarmingly simple. By compromising Microsoft 365 accounts owned by small businesses, the hackers created domains to deceive their targets through Microsoft Teams messages. They engaged users and elicited approval of MFA prompts, bypassing what is usually considered a robust security measure. |
APT 29 APT 29 | ★★★★ | |
 |
2023-08-04 16:48:11 | Mémo sur les menaces du cloud: les acteurs de la menace parrainés par l'État russe exploitent de plus en plus les services cloud légitimes Cloud Threats Memo: Russian State-sponsored Threat Actors Increasingly Exploiting Legitimate Cloud Services (lien direct) |
> Les acteurs de la menace parrainés par l'État continuent d'exploiter les services cloud légitimes, et en particulier un groupe, l'APT29 russe (également connu sous le nom de confortable ours, Ursa masqué, Bluebravo, Midnight Blizzard et anciennement Nobelium), semble particulièrement actif.Entre mars et mai 2023, les chercheurs en sécurité du groupe INSIKT de Future \\ ont déniché une campagne de cyber-espionnage par la même [& # 8230;]
>State-sponsored threat actors continue to exploit legitimate cloud services, and especially one group, the Russian APT29 (also known as Cozy Bear, Cloaked Ursa, BlueBravo, Midnight Blizzard, and formerly Nobelium), seems to be particularly active. Between March and May 2023, security researchers at Recorded Future\'s Insikt Group have unearthed a cyber espionage campaign by the same […] |
Threat Cloud | APT 29 APT 29 | ★★ |
|
2023-08-03 12:08:00 | Microsoft expose les pirates russes \\ 'Tactiques de phishing sournoises via les chats des équipes Microsoft Microsoft Exposes Russian Hackers\\' Sneaky Phishing Tactics via Microsoft Teams Chats (lien direct) |
Microsoft a révélé mercredi qu'il identifiait un ensemble d'attaques d'ingénierie sociale hautement ciblées montées par un acteur de menace russe de l'État-nation à l'aide de leurres de phishing de vol d'identification envoyés sous forme de chats des équipes de Microsoft.
Le géant de la technologie a attribué les attaques à un groupe qu'il suit comme Midnight Blizzard (auparavant Nobelium).Il est également appelé apt29, bluebravo, ours confortable, pruche en fer et les ducs.
Microsoft on Wednesday disclosed that it identified a set of highly targeted social engineering attacks mounted by a Russian nation-state threat actor using credential theft phishing lures sent as Microsoft Teams chats. The tech giant attributed the attacks to a group it tracks as Midnight Blizzard (previously Nobelium). It\'s also called APT29, BlueBravo, Cozy Bear, Iron Hemlock, and The Dukes. |
Threat | APT 29 | ★★ |
|
2023-08-02 20:47:00 | Les pirates militaires russes ont envoyé des leurres de phishing se faisant passer pour les équipes de Microsoft. Russian military hackers sent phishing lures masquerading as Microsoft Teams chats (lien direct) |
Les pirates au sein de l'armée russe ont utilisé des discussions sur les équipes de Microsoft comme des leurres de phishing dans des «attaques d'ingénierie sociale hautement ciblées», selon des responsables de la sécurité de Microsoft.Le géant de la technologie a déclaré mercredi qu'il avait découvert une campagne d'un groupe de piratage russe prolifique qu'ils appellent Midnight Blizzard, mais est le plus communément appelé Nobelium, confortable ours ou APT29.
Hackers within the Russian military used Microsoft Teams chats as phishing lures in “highly targeted social engineering attacks,” according to security officials at Microsoft. The tech giant said on Wednesday it uncovered a campaign by a prolific Russian hacking group they call Midnight Blizzard but is most commonly known as NOBELIUM, Cozy Bear or APT29. |
APT 29 APT 29 | ★★★ | |
|
2023-07-28 14:24:00 | BlueBravo déploie une porte dérobée GraphicalProton contre les entités diplomatiques européennes BlueBravo Deploys GraphicalProton Backdoor Against European Diplomatic Entities (lien direct) |
L'acteur russe de l'État-nation connu sous le nom de Bluebravo a été observé ciblant des entités diplomatiques dans toute l'Europe de l'Est dans le but de livrer une nouvelle porte arrière appelée GraphicalProton, illustrant l'évolution continue de la menace.
La campagne de phishing se caractérise par l'utilisation des services Internet légitimes (LIS) pour l'obscuscation de commandement et de contrôle (C2), a déclaré l'avenir enregistré en
The Russian nation-state actor known as BlueBravo has been observed targeting diplomatic entities throughout Eastern Europe with the goal of delivering a new backdoor called GraphicalProton, exemplifying the continuous evolution of the threat. The phishing campaign is characterized by the use of legitimate internet services (LIS) for command-and-control (C2) obfuscation, Recorded Future said in |
APT 29 APT 29 | ★★ | |
|
2023-07-13 15:48:58 | Les attaquants de Solarwinds pendent des BMW pour espionner les diplomates SolarWinds Attackers Dangle BMWs to Spy on Diplomats (lien direct) |
Ursa / Nobelium masqué devient créatif en faisant appel aux besoins plus personnels des employés du gouvernement sur des missions étrangères à Kiev.
Cloaked Ursa/Nobelium gets creative by appealing to the more personal needs of government employees on foreign missions in Kyiv. |
APT 29 | ★★★★ | |
|
2023-07-07 02:33:29 | Rapport de tendance des menaces sur les groupes APT & # 8211;Mai 2023 Threat Trend Report on APT Groups – May 2023 (lien direct) |
Les cas de grands groupes APT pour le mai 2023 réunis à partir de documents rendus publics par des sociétés de sécurité et des institutions sont comme commesuit.& # 8211;Agrius & # 8211;Andariel & # 8211;APT28 & # 8211;APT29 & # 8211;APT-C-36 (Blind Eagle) & # 8211;Camaro Dragon & # 8211;CloudWizard & # 8211;Earth Longzhi (APT41) & # 8211;Goldenjackal & # 8211;Kimsuky & # 8211;Lazarus & # 8211;Lancefly & # 8211;Oilalpha & # 8211;Red Eyes (Apt37, Scarcruft) & # 8211;Sidecopy & # 8211;Sidewinder & # 8211;Tribu transparente (APT36) & # 8211;Volt Typhoon (Silhouette de bronze) ATIP_2023_MAY_TRADEAT Rapport sur les groupes APT_20230609
The cases of major APT groups for May 2023 gathered from materials made public by security companies and institutions are as follows. – Agrius – Andariel – APT28 – APT29 – APT-C-36 (Blind Eagle) – Camaro Dragon – CloudWizard – Earth Longzhi (APT41) – GoldenJackal – Kimsuky – Lazarus – Lancefly – OilAlpha – Red Eyes (APT37, ScarCruft) – SideCopy – SideWinder – Transparent Tribe (APT36) – Volt Typhoon (Bronze Silhouette) ATIP_2023_May_Threat Trend Report on APT Groups_20230609 |
Threat Prediction | APT 41 APT 38 APT 37 APT 37 APT 29 APT 29 APT 28 APT 28 APT 36 APT 36 Guam Guam APT-C-17 APT-C-17 GoldenJackal GoldenJackal APT-C-36 | ★★★ |
 |
2023-06-27 08:30:52 | Le vol d'accréditation attaque la surtension: Microsoft soulève le drapeau rouge sur Midnight Blizzard (APT29) Credential Theft Attacks Surge: Microsoft Raises Red Flag on Midnight Blizzard (APT29) (lien direct) |
Microsoft a identifié Midnight Blizzard, un groupe de piratage affilié à l'État russe, également connu sous le nom d'APT29, sous le nom de ...
Microsoft has identified Midnight Blizzard, a Russian state-affiliated hacking group also known as APT29, as... |
APT 29 | ★★ | |
|
2023-06-21 20:21:00 | Le groupe de piratage soutenu par le Kremlin met un nouvel accent sur le vol d'identification Kremlin-backed hacking group puts fresh emphasis on stealing credentials (lien direct) |
Microsoft a détecté Une augmentation des attaques de vol d'identification menées par le groupe de pirates affilié à l'État russe souvent étiqueté comme APT29, Cozy Bear, Bearsou Nobelium.Ces attaques s'adressent aux gouvernements, aux prestataires de services informatiques, aux organisations non gouvernementales (ONG) et aux industries de la défense et de la fabrication critiques.Sous Microsoft \'s nouvelle convention de dénomination Menaces (APTS), l'entreprise appelle
Microsoft has detected an increase in credential-stealing attacks conducted by the Russian state-affiliated hacker group often labeled as APT29, Cozy Bear or Nobelium. These attacks are directed at governments, IT service providers, nongovernmental organizations (NGOs), and defense and critical manufacturing industries. Under Microsoft\'s new naming convention for advanced persistent threats (APTs), the company is calling |
APT 29 | ★★ | |
 |
2023-04-18 17:14:00 | Anomali Cyber Watch: Cozy Bear utilise de nouveaux téléchargeurs, RTM Locker Ransomware cherche une vie privée, vice Society Automated Selective Exfiltration Anomali Cyber Watch: Cozy Bear Employs New Downloaders, RTM Locker Ransomware Seeks Privacy, Vice Society Automated Selective Exfiltration (lien direct) |
Les différentes histoires de l'intelligence des menaces dans cette itération de l'anomali cyber watch discutent les sujets suivants: apt, clicker, détournement de conversation, exfiltration de données, callpam, phishing, ransomware, russie, et chaîne d'approvisionnement .Les CIO liés à ces histoires sont attachés à Anomali Cyber Watch et peuvent être utilisés pour vérifier vos journaux pour une activité malveillante potentielle.
Figure 1 - Diagrammes de résumé du CIO.Ces graphiques résument les CIO attachés à ce magazine et donnent un aperçu des menaces discutées.
Cyber News et Intelligence des menaces
banquier QBOT livré par correspondance commerciale
(Publié: 17 avril 2023)
Début avril 2023, un volume accru de Malspam en utilisant le détournement de fil commercial-imail a été détecté pour fournir le troin bancaire QBOT (QAKBOT, Quackbot, Pinkslipbot).Les leurres observés en anglais, en allemand, en italien et en français visaient divers pays, les trois premiers étant l'Allemagne, l'Argentine et l'Italie, dans cet ordre.Les attaquants usurpaient un nom dans la conversation détournée pour inciter la cible à ouvrir un fichier PDF ci-joint.La cible est ensuite confrontée à un bouton, à un mot de passe et à une instruction pour télécharger, déballer et exécuter un fichier de script Windows malveillant (WSF) dans une archive protégée par mot de passe.L'exécution des utilisateurs est suivie d'une désobfuscation automatisée d'un JScript contenu produisant un script PowerShell codé visant à télécharger une DLL QBOT à partir d'un site Web compromis et à l'exécuter à l'aide de RunDLL32.QBOT vole les informations d'identification, profil les systèmes pour identifier les perspectives de ciblage supplémentaire de grande valeur et vole des e-mails stockés localement pour une prolifération supplémentaire via le détournement de fil calspam.
Commentaire de l'analyste: L'usurpation du nom de l'expéditeur des lettres précédentes du & lsquo; from & rsquo;Le champ peut être identifié dans cette campagne car il utilise une adresse e-mail frauduleuse de l'expéditeur différent de celle du véritable correspondant.Les utilisateurs doivent être prudents avec des archives protégées par mot de passe et des types de fichiers suspects tels que WSF.Les indicateurs de réseau et d'hôtes associés à cette campagne QBOT sont disponibles dans la plate-forme Anomali et il est conseillé aux clients de les bloquer sur leur infrastructure.
mitreAtt & amp; ck: [mitre att & amp; ck] t1566 - phishing | [mitre att & amp; ck] t1204 - exécution des utilisateurs | [mitre att & amp; ck] t1207 - contrôleur de domaine voyou | [mitre att & amp; ck] t1140 - déobfuscate /Décoder des fichiers ou des informations | [mitre att & amp; ck] t1059.001: powershell | [mitre att & amp; ck] t1218.011 - Exécution par proxy binaire signée: rundll32 | [mitre att & amp; ck] t1090 - proxy | [mitre att & amp; ck] t1114.001 - collection de courriels: collection de message |
Ransomware Malware Tool Threat | APT 29 APT 29 | ★★ |
|
2023-04-14 18:27:00 | Les pirates liés à la Russie lancent des attaques d'espionnage contre des entités diplomatiques étrangères Russia-Linked Hackers Launches Espionage Attacks on Foreign Diplomatic Entities (lien direct) |
L'acteur de menace APT29 (alias confortable) lié à la Russie a été attribué à une campagne de cyber-espionnage en cours ciblant les ministères étrangères et les entités diplomatiques situées dans les États membres de l'OTAN, l'Union européenne et l'Afrique.
Selon le service de contre-espionnage militaire de la Pologne et l'équipe CERT Polska, l'activité observée partage tactique des chevauchements avec un cluster suivi par Microsoft en tant que
The Russia-linked APT29 (aka Cozy Bear) threat actor has been attributed to an ongoing cyber espionage campaign targeting foreign ministries and diplomatic entities located in NATO member states, the European Union, and Africa. According to Poland\'s Military Counterintelligence Service and the CERT Polska team, the observed activity shares tactical overlaps with a cluster tracked by Microsoft as |
Threat | APT 29 | ★★ |
|
2023-04-13 17:06:00 | Des pirates soutenus par le Kremlin sont imputés à l'espionnage des agences diplomatiques de l'UE et de l'OTAN Kremlin-backed hackers blamed in spying campaign on EU and NATO diplomatic agencies (lien direct) |
Les pirates russes affiliés à l'État ont lancé une campagne d'espionnage ciblant les ministères étrangères et les entités diplomatiques dans les pays de l'OTAN, l'Union européenne et, «dans une moindre mesure», a déclaré l'Afrique, la principale agence de cybersécurité de l'Afrique, la Pologne \\.La campagne est liée au groupe de piratage soutenu par le Kremlin, Nobelium, également connu sous le nom d'APT29 ou [Bluebravo] (https://www.recordedfuture.com/bluebravo-uses-ambassador-reure-Deploy-GraphicalNeutrino-Malware), cert.pl a déclaré dans un [rapport] (https://www.gov.pl/wEB / Baza-Wiedzy / Espionage-Campaign-liked-to-russian-Intelligence-Services) publié jeudi avec
Russian state-affiliated hackers have launched a spying campaign targeting foreign ministries and diplomatic entities in NATO countries, the European Union, and, “to a lesser extent,” Africa, Poland\'s top cybersecurity agency said. The campaign is linked to the Kremlin-backed hacking group Nobelium, also known as APT29 or [BlueBravo](https://www.recordedfuture.com/bluebravo-uses-ambassador-lure-deploy-graphicalneutrino-malware), CERT.PL said in a [report](https://www.gov.pl/web/baza-wiedzy/espionage-campaign-linked-to-russian-intelligence-services) published Thursday with |
APT 29 | ★★ | |
|
2023-03-17 07:22:00 | APT Profile: Cozy Bear / APT29 (lien direct) | >Advanced Persistent Threat (APT) groups are widely classified as organizations that lead “attacks on a... | Threat Guideline | APT 29 APT 29 | ★★ |
|
2023-03-14 22:00:00 | Kremlin-backed hackers blamed in recent phishing attempts on EU agencies (lien direct) |
A Russian state-backed hacker group known as Nobelium is behind recent attempted cyberattacks on diplomatic entities and government agencies in the European Union, cybersecurity researchers say. In a campaign identified in early March, the hackers sent phishing emails with content related to diplomatic relations between Poland and the U.S., according to a report by cybersecurity |
Hack | APT 29 | ★★★ |
 |
2023-01-30 12:03:49 | Russia-Linked APT29 Uses New Malware in Embassy Attacks (lien direct) | >Russia-linked cyberespionage group APT29 has been observed using embassy-themed lures and the GraphicalNeutrino malware in recent attacks. | Malware | APT 29 | ★★ |
|
2022-11-17 00:00:00 | Mustang Panda, APT29, APT36, Phobos, Cobalt Strike : Les acteurs émergents de la cybermenace se structurent et les rançongiciels évoluent (lien direct) | Mustang Panda, APT29, APT36, Phobos, Cobalt Strike : Les acteurs émergents de la cybermenace se structurent et les rançongiciels évoluent Le Trellix Advanced Research Center dévoile son premier rapport faisant le point sur l'activité des menaces cyber - Malwares | APT 29 APT 36 | ||
 |
2022-11-10 10:41:13 | APT29 abused the Windows Credential Roaming in an attack against a diplomatic entity (lien direct) | >Russia-linked APT29 cyberespionage group exploited a Windows feature called Credential Roaming to target a European diplomatic entity. Mandiant researchers in early 2022 responded to an incident where the Russia-linked APT29 group (aka SVR group, Cozy Bear, Nobelium, and The Dukes) successfully phished a European diplomatic entity. The attack stands out for the use of the Windows Credential […] | APT 29 | ||
|
2022-11-09 19:17:00 | APT29 Exploited a Windows Feature to Compromise European Diplomatic Entity Network (lien direct) | The Russia-linked APT29 nation-state actor has been found leveraging a "lesser-known" Windows feature called Credential Roaming as part of its attack against an unnamed European diplomatic entity. "The diplomatic-centric targeting is consistent with Russian strategic priorities as well as historic APT29 targeting," Mandiant researcher Thibault Van Geluwe de Berlaere said in a technical write-up. | APT 29 | ||
|
2022-11-08 15:00:00 | Ils me voient itinérants: suivant APT29 en jetant un aperçu plus approfondi de l'itinérance des informations d'identification Windows They See Me Roaming: Following APT29 by Taking a Deeper Look at Windows Credential Roaming (lien direct) |
Au début de 2022, Mandiant a détecté et répondu à un incident où l'APT29 a réussi une entité diplomatique européenne et a finalement abusé de la fonction d'itinérance des informations d'identification Windows.Le ciblage diplomatique centré sur le diplomate est conforme aux priorités stratégiques russes ainsi qu'aux historique | APT 29 APT 29 | ★★★★ | |
 |
2022-10-18 08:41:18 | The benefits of taking an intent-based approach to detecting Business Email Compromise (lien direct) |  By Abhishek Singh.BEC is a multi-stage attack. Adversaries first identify targets, then they establish rapport with the victim before exploiting them for whatever their end goal is. In the case of BEC, a threat actor can impersonate any employee in the organization to trick targets. A policy that checks for authorized email addresses of the sender can prevent BEC attacks. However, scaling the approach for every employee in a large organization is a challenge. Building an executive profile based on email analysis using a machine learning model and scanning emails against that profile will detect BEC. Data collection for building and training machine learning algorithms can take time, though, opening a window of opportunity for threat actors to exploit. Detection of exploitation techniques such as lookalike domains and any differences in the email addresses in the "From" and "Reply-to" fields can also detect BEC messages. However, the final verdict cannot account for the threat actor's intent. The intent-based approach detects BEC and then classifies it into the type of scam. It catches BEC messages, irrespective of whether a threat actor is impersonating a C-level executive or any employee in an organization. Classification based on the type of scam can help identify which segment of an organization was targeted and which employees were being impersonated by the threat actor. The additional information will further assist in better designing preventive features to stop BEC. Business email compromise (BEC) is one of the most financially damaging online crimes. As per the internet crime 221 report, the total loss in 2021 due to BEC is around 2.4 billion dollars. Since 2013, BEC has resulted in a 43 billion dollars loss. The report defines BEC as a scam targeting businesses (not individuals) working with foreign suppliers and companies regularly performing wire transfer payments. Fraudsters carry out these sophisticated scams to conduct the unauthorized transfer of funds. This introduces the challenge of how to detect and block these campaigns as they continue to compromise organizations successfully. There are a variety of approaches to identifying BEC email messages, such as using policy to allow emails from authorized email addresses, detecting exploitation techniques used by threat actors, building profiles by analysis of emails, and validating against the profile to detect BEC. These approaches have a variety of limitations or shortcomings. Cisco Talos is taking a different approach and using an intent-based model to identify and block BEC messages. Before we get too deep into the intent-based model, take a deeper look at the commonly used approaches to block BEC from the simplistic through machine learning (ML) approaches. Policy-based detection The first place to start is with policy-based detection as it is one of the most common and simplistic approaches to blocking BEC campaigns. Let's start by looking at an example of a BEC email. |
Threat Medical Cloud | Yahoo Uber APT 38 APT 37 APT 29 APT 19 APT 15 APT 10 | |
|
2022-08-30 15:01:00 | Anomali Cyber Watch: First Real-Life Video-Spoofing Attack, MagicWeb Backdoors via Non-Standard Key Identifier, LockBit Ransomware Blames Victim for DDoSing Back, and More (lien direct) | The various threat intelligence stories in this iteration of the Anomali Cyber Watch discuss the following topics: Authentication, DDoS, Fingerprinting, Iran, North Korea, Ransomware, and Russia. The IOCs related to these stories are attached to Anomali Cyber Watch and can be used to check your logs for potential malicious activity.
Figure 1 - IOC Summary Charts. These charts summarize the IOCs attached to this magazine and provide a glimpse of the threats discussed.
Trending Cyber News and Threat Intelligence
LastPass Hackers Stole Source Code
(published: August 26, 2022)
In August 2022, an unidentified threat actor gained access to portions of the password management giant LastPass development environment. LastPass informed that it happened through a single compromised developer account and the attacker took portions of source code and some proprietary LastPass technical information. The company claims that this incident did not affect customer data or encrypted password vaults.
Analyst Comment: This incident doesn’t seem to have an immediate impact on LastPass users. Still, organizations relying on LastPass should raise the concern in their risk assessment since “white-box hacking” (when source code of the attacking system is known) is easier for threat actors. Organizations providing public-facing software should take maximum measures to block threat actors from their development environment and establish robust and transparent security protocols and practices with all third parties involved in their code development.
Tags: LastPass, Password manager, Data breach, Source code
Mercury Leveraging Log4j 2 Vulnerabilities in Unpatched Systems to Target Israeli
(published: August 25, 2022)
Starting in July 2022, a new campaign by Iran-sponsored group Static Kitten (Mercury, MuddyWater) was detected targeting Israeli organizations. Microsoft researchers detected that this campaign was leveraging exploitation of Log4j 2 vulnerabilities (CVE-2021-45046 and CVE-2021-44228) in SysAid applications (IT management tools). For persistence Static Kitten was dropping webshells, creating local administrator accounts, stealing credentials, and adding their tools in the startup folders and autostart extensibility point (ASEP) registry keys. Overall the group was heavily using various open-source and built-in operating system tools: eHorus remote management software, Ligolo reverse tunneling tool, Mimikatz credential theft tool, PowerShell programs, RemCom remote service, Venom proxy tool, and Windows Management Instrumentation (WMI).
Analyst Comment: Network defenders should monitor for alerts related to web shell threats, suspicious RDP sessions, ASEP registry anomaly, and suspicious account creation. Similarly, SysAid users can monitor for webshells and abnormal processes related to SysAisServer instance. Even though Static Kitten was observed leveraging the Log4Shell vulnerabilities in the past (targeting VMware apps), most of their attacks still start with spearphishing, often from a compromised email account.
MITRE ATT&CK: [MITRE ATT&CK] Exploit Public-Facing Application - T1190 | [MITRE ATT&CK] OS Credential Dumping - T1003 | [MITRE ATT&CK] Phishing - T1566 | |
Ransomware Hack Tool Vulnerability Threat Guideline Cloud | APT 37 APT 29 LastPass | |
|
2022-08-26 10:36:26 | Le groupe APT29 continue de cibler Microsoft 365 (lien direct) | APT29 est un groupe d'espionnage russe que Mandiant suit depuis au moins 2014 et probablement parrainé par le Service de renseignement extérieur (SVR). Mandiant continue d'identifier des opérations de du groupe APT29 visant les intérêts des États-Unis, ainsi que ceux de l'OTAN. Malgré la médiatisation de multiples opérations d' APT29, celles-ci continuent d'être extrêmement prolifiques. - Malwares | APT 29 | ||
|
2022-08-25 17:11:38 | Nobelium APT uses new Post-Compromise malware MagicWeb (lien direct) | >Russia-linked APT group Nobelium is behind a new sophisticated post-exploitation malware tracked by Microsoft as MagicWeb. Microsoft security researchers discovered a post-compromise malware, tracked as MagicWeb, which is used by the Russia-linked NOBELIUM APT group to maintain persistent access to compromised environments. The NOBELIUM APT (APT29, Cozy Bear, and The Dukes) is the threat actor that […] | Malware Threat | APT 29 | |
|
2022-08-25 12:36:49 | Microsoft: Russian malware hijacks ADFS to log in as anyone in Windows (lien direct) | Microsoft has discovered a new malware used by the Russian hacker group APT29 (a.k.a. NOBELIUM, Cozy Bear) that enables authentication as anyone in a compromised network. [...] | Malware | APT 29 | ★★★ |
|
2022-08-25 10:16:06 | Microsoft Details New Post-Compromise Malware Used by Russian Cyberspies (lien direct) | Microsoft this week published technical details on 'MagicWeb', a new post-exploitation tool used by Russia-linked cyberespionage group APT29. | Malware Tool | APT 29 | |
|
2022-08-19 23:20:33 | Russia-linked Cozy Bear uses evasive techniques to target Microsoft 365 users (lien direct) | >Russia-linked APT group Cozy Bear continues to target Microsoft 365 accounts in NATO countries for cyberespionage purposes. Mandiant researchers reported that the Russia-linked Cozy Bear cyberespionage group (aka APT29, CozyDuke, and Nobelium), has targeted Microsoft 365 accounts in espionage campaigns. The experts pointed out that APT29 devised new advanced tactics, techniques, and procedures to evade detection. […] | APT 29 | ||
|
2022-08-19 11:10:55 | Russian APT29 hackers abuse Azure services to hack Microsoft 365 users (lien direct) | The state-backed Russian cyberespionage group Cozy Bear has been particularly prolific in 2022, targeting Microsoft 365 accounts in NATO countries and attempting to access foreign policy information. [...] | Hack | APT 29 | |
|
2022-08-18 09:00:00 | Vous ne pouvez pas m'auditer: APT29 continue de cibler Microsoft 365 You Can\\'t Audit Me: APT29 Continues Targeting Microsoft 365 (lien direct) |
apt29 est un groupe d'espionnage russe que Mandiant suit depuis au moins 2014 et est probablement Parrainé par le Foreign Intelligence Service (SVR).Mandiant continue d'identifier les opérations APT29 ciblant les intérêts des États-Unis et les pays des États-Unis et ceux des pays de l'OTAN et des pays partenaires.Malgré la publication de multiples opérations APT29, ils continuent d'être extrêmement prolifiques.En 2022, APT29 s'est concentré sur les organisations responsables de l'influence et de l'élaboration de la politique étrangère des pays de l'OTAN.Cela a inclus plusieurs cas où APT29 a revisité les victimes qu'ils avaient compromis des années
APT29 is a Russian espionage group that Mandiant has been tracking since at least 2014 and is likely sponsored by the Foreign Intelligence Service (SVR). Mandiant continues to identify APT29 operations targeting the United States\' (US) interests, and those of NATO and partner countries. Despite the publicization of multiple APT29 operations, they continue to be extremely prolific. In 2022, APT29 has focused on organizations responsible for influencing and crafting the foreign policy of NATO countries. This has included multiple instances where APT29 revisited victims they had compromised years |
APT 29 APT 29 | ★★★★ | |
|
2022-07-26 17:10:00 | Anomali Cyber Watch: Cozy Bear Abuses Google Drive API, Complex Lightning Framework Targets Linux, Google Ads Hide Fraudulent Redirects, and More (lien direct) | The various threat intelligence stories in this iteration of the Anomali Cyber Watch discuss the following topics: APT, Bots, China, Linux, Malspam, Mobil, Russia, and Spearhishing. The IOCs related to these stories are attached to Anomali Cyber Watch and can be used to check your logs for potential malicious activity.
Figure 1 - IOC Summary Charts. These charts summarize the IOCs attached to this magazine and provide a glimpse of the threats discussed.
Trending Cyber News and Threat Intelligence
Lightning Framework: New Undetected “Swiss Army Knife” Linux Malware
(published: July 21, 2022)
Intezer researchers discovered a new Linux malware called Lightning Framework (Lightning). It is a modular framework able to install multiple types of rootkits and to run various plugins. Lightning has passive and active capabilities for communication with the threat actor, including opening up SSH service via an OpenSSH daemon, and a polymorphic command and control (C2) configuration. Lightning is a newly discovered threat, and there is no information about its use in the wild and the actors behind it.
Analyst Comment: Defenders should block known Lightning indicators. Monitor for file creation based on the Lightning naming convention.
MITRE ATT&CK: [MITRE ATT&CK] Logon Scripts - T1037 | [MITRE ATT&CK] Account Manipulation - T1098 | [MITRE ATT&CK] Obfuscated Files or Information - T1027 | [MITRE ATT&CK] Deobfuscate/Decode Files or Information - T1140 | [MITRE ATT&CK] Hide Artifacts - T1564 | [MITRE ATT&CK] Masquerading - T1036 | [MITRE ATT&CK] Rootkit - T1014 | [MITRE ATT&CK] Indicator Removal on Host - T1070 | [MITRE ATT&CK] File and Directory Discovery - T1083 | [MITRE ATT&CK] Network Service Scanning - T1046 | [MITRE ATT&CK] Network Sniffing - T1040 | [MITRE ATT&CK] System Information Discovery - T1082 | [MITRE ATT&CK] Data Encoding - T1132 | [MITRE ATT&CK] Standard Non-Application Layer Protocol - T1095 | [MITRE ATT&CK] Proxy - T1090 | [MITRE ATT&CK] Exfiltration Over C2 Channel - T1041
Tags: Lightning Framework, Linux, Lightning.Downloader, Lightning.Core, Typosquatting, Masquerading, Timestomping, Port:33229
Google Ads Lead to Major Malvertising Campaign
(published: July 20, 2022)
Malwarebytes researchers discovered a malvertising campaign abusing Google Search advertisements for popular keywords such as “amazon,” “fac |
Malware Tool Threat Guideline | APT 29 | |
 |
2022-07-21 10:13:51 | Russian Adversaries Target Google Drive and DropBox in Latest Campaign (lien direct) | Russian adversaries are taking advantage of trusted cloud services, like Google Drive and DropBox, to deliver malware to businesses and governments, according to new research. Researchers at Palo Alto Networks Unit 42 wrote that the threat actor Cloaked Ursula – AKA the Russian government-linked APT29 or Cozy Bear – is increasingly using online storage services […] | Malware Threat | APT 29 |
To see everything:
Our RSS (filtrered)
