What's new arround internet
| Src | Date (GMT) | Titre | Description | Tags | Stories | Notes |
 |
2023-09-29 00:00:00 | APT34 déploie une attaque de phishing avec de nouveaux logiciels malveillants APT34 Deploys Phishing Attack With New Malware (lien direct) |
Nous avons observé et suivi le groupe APT34 de la menace persistante avancée (APT) avec une nouvelle variante de logiciels malveillants accompagnant une attaque de phishing relativement similaire à la touche de secours de la couette.Après la campagne, le groupe a abusé d'un faux formulaire d'enregistrement de licence d'une agence gouvernementale africaine pour cibler une victime en Arabie saoudite.
We observed and tracked the advanced persistent threat (APT) APT34 group with a new malware variant accompanying a phishing attack comparatively similar to the SideTwist backdoor malware. Following the campaign, the group abused a fake license registration form of an African government agency to target a victim in Saudi Arabia. |
Malware Threat | APT 34 APT 34 | ★★★ |
 |
2023-09-22 10:26:15 | ESET découvre que le groupe OilRig a déployé un nouveau malware sur des victimes israéliennes (lien direct) | ESET découvre que le groupe OilRig a déployé un nouveau malware sur des victimes israéliennes Vue d'ensemble de la chaîne de compromission spatiale d'OilRig • ESET Research a analysé deux campagnes menées par le groupe OilRig en 2021 (Outer Space) et 2022 (Juicy Mix). Ce groupe APT est aligné avec les intérêts de l'Iran. • Les opérateurs ont ciblé exclusivement des organisations israéliennes et compromettaient des sites Web israéliens légitimes afin de les utiliser comme centre de communications et de contrôle (C & C / C2). • Ils ont utilisé une nouvelle porte dérobée inédite dans chaque campagne : Solar in Outer Space, puis son successeur Mango in Juicy Mix. • Une grande variété d'outils a été déployée à la suite des compromissions. Ces outils ont été utilisés pour collecter des informations sensibles à partir des principaux navigateurs et du Gestionnaire de mots de passe de Windows. - Malwares | Malware Tool | APT 34 | ★★★ |
 |
2023-09-19 17:06:25 | Hackers utilisant de fausses applications YouTube pour infecter les appareils Android Hackers Using Fake YouTube Apps To Infect Android Devices (lien direct) |
Le groupe de piratage APT36, également connu sous le nom de \\ 'Tribe Transparent, a été découvert à l'aide d'applications Android malveillantes qui imitent YouTube pour infecter leurs cibles \' avec le Troie (rat) d'accès à distance mobile appelé \\ appelé \'Caprarat \'. Pour les personnes inconscientes, l'APT36 (ou la tribu transparente) est un groupe de piratage présumé lié au Pakistan principalement connu pour avoir utilisé des applications Android malveillantes pour attaquer la défense indienne et les agences gouvernementales, les organisations impliquées dans la région du Cachemire, ainsi que les militants des droits de l'homme travaillant travailsur des questions liées au Pakistan. Sentinelabs, une entreprise de cybersécurité, a pu identifier trois packages d'applications Android (APK) liés à la Caprarat de la tribu transparente, qui a imité l'apparence de YouTube. & # 8220; Caprarat est un outil très invasif qui donne à l'attaquant un contrôle sur une grande partie des données sur les appareils Android qu'il infecte, & # 8221;Le chercheur de sécurité Sentinellabs Alex Delamotte a écrit dans une analyse lundi. Selon les chercheurs, les APK malveillants ne sont pas distribués via Google Play Store d'Android, ce qui signifie que les victimes sont probablement socialement conçues pour télécharger et installer l'application à partir d'une source tierce. L'analyse des trois APK a révélé qu'elles contenaient le Caprarat Trojan et ont été téléchargées sur Virustotal en avril, juillet et août 2023. Deux des Caprarat APK ont été nommés \\ 'YouTube \', et l'un a été nommé \'Piya Sharma \', associée à un canal potentiellement utilisé pour les techniques d'ingénierie sociale basées sur la romance pour convaincre les cibles d'installer les applications. La liste des applications est la suivante: base.media.service moves.media.tubes videos.watchs.share Pendant l'installation, les applications demandent un certain nombre d'autorisations à risque, dont certaines pourraient initialement sembler inoffensives pour la victime pour une application de streaming médiatique comme YouTube et la traiter sans soupçon. L'interface des applications malveillantes tente d'imiter l'application YouTube réelle de Google, mais ressemble plus à un navigateur Web qu'à une application en raison de l'utilisation de WebView à partir de l'application Trojanisée pour charger le service.Ils manquaient également de certaines fonctionnalités et fonctions disponibles dans l'application Android YouTube native légitime. Une fois que Caprarat est installé sur le dispositif de victime, il peut effectuer diverses actions telles que l'enregistrement avec le microphone, les caméras avant et arrière, la collecte de SMS et les contenus de messages multimédias et les journaux d'appels, d'envoi de messages SMS, de blocage des SMS entrants, initier les appels téléphoniques, prendre des captures d'écran, des paramètres système primordiaux tels que GPS & AMP;Réseau et modification des fichiers sur le système de fichiers du téléphone \\ Selon Sentinelabs, les variantes de caprarat récentes trouvées au cours de la campagne actuelle indiquent un développement continu des logiciels malveillants par la tribu transparente. En ce qui concerne l'attribution, les adresses IP des serveurs de commande et de contrôle (C2) avec lesquels Caprarat communique sont codées en dur dans le fichier de configuration de l'application et ont été liés aux activités passées du groupe de piratage. Cependant, certaines adresses IP étaient liées à d'autres campagnes de rats, bien que la relation exacte entre ces acteurs de menace et la tribu transparente reste claire. | Malware Tool Threat | APT 36 | ★★ |
 |
2023-09-19 12:26:00 | Transparent Tribe utilise de fausses applications Android YouTube pour répandre Caprarat malware Transparent Tribe Uses Fake YouTube Android Apps to Spread CapraRAT Malware (lien direct) |
L'acteur de menace présumé lié au Pakistan, connu sous le nom de Tribe Transparent, utilise des applications Android malveillantes imitant YouTube pour distribuer le Troie à distance à distance caprarat (rat), démontrant l'évolution continue de l'activité.
"Caprarat est un outil très invasif qui donne à l'attaquant un contrôle sur une grande partie des données sur les appareils Android qu'il infecte", Sentinelone Security
The suspected Pakistan-linked threat actor known as Transparent Tribe is using malicious Android apps mimicking YouTube to distribute the CapraRAT mobile remote access trojan (RAT), demonstrating the continued evolution of the activity. "CapraRAT is a highly invasive tool that gives the attacker control over much of the data on the Android devices that it infects," SentinelOne security |
Malware Tool Threat | APT 36 | ★ |
 |
2023-09-11 12:19:26 | Iranian Hackers Backdoor 34 Orgs avec un nouveau sponsor malware Iranian hackers backdoor 34 orgs with new Sponsor malware (lien direct) |
Un acteur de menace national connu sous le nom de \\ 'Charming Kitten \' (Phosphorus, TA453, APT35 / 42) a été observé en déploiement d'un logiciel malveillant de porte dérobée auparavant inconnu nommé \\ 'sponsor \' contre 34 entreprises à travers le monde.[...]
A nation-state threat actor known as \'Charming Kitten\' (Phosphorus, TA453, APT35/42) has been observed deploying a previously unknown backdoor malware named \'Sponsor\' against 34 companies around the globe. [...] |
Malware Threat | APT 35 | ★★ |
 |
2023-09-08 00:55:10 | Redeyes (scarcruft) \\'s chm malware en utilisant le sujet de la version des eaux usées de Fukushima RedEyes (ScarCruft)\\'s CHM Malware Using the Topic of Fukushima Wastewater Release (lien direct) |
L'équipe d'analyse du centre d'intervention d'urgence (ASEC) AHNLAB a récemment découvert que le MAC MALW, qui est le CHM, qui estsupposé avoir été créé par le groupe de menaces Redeyes, est à nouveau distribué.La distribution de logiciels malveillants CHM fonctionne de la même manière que le logiciel malveillant & # 8220; CHM déguisé en e-mail de sécurité d'une société financière coréenne & # 8221; [1] couverte en mars de cette année et utilise également les mêmes commandes utilisées dans le & #.8220; 2.3.Persistance & # 8221; [2] Étape dans le processus d'attaque des redeyes ...
The AhnLab Security Emergency response Center (ASEC) analysis team has recently discovered that the CHM malware, which is assumed to have been created by the RedEyes threat group, is being distributed again. The CHM malware in distribution operates in a similar way to the “CHM Malware Disguised as Security Email from a Korean Financial Company”[1] covered in March of this year and also uses the same commands used in the “2.3. Persistence”[2] stage in the attack process of the RedEyes... |
Malware Threat | APT 37 | ★★ |
|
2023-09-06 01:29:24 | Distribution de la porte dérobée via un LNK malveillant: redeyes (Scarcruft) Distribution of Backdoor via Malicious LNK: RedEyes (ScarCruft) (lien direct) |
Ahnlab Security Emergency Response Center (ASEC) a confirmé que le malware [1], qui était auparavant distribué dansLe format CHM, est maintenant distribué au format LNK.Ce logiciel malveillant exécute des scripts supplémentaires situés à une URL spécifique via le processus MSHTA.Il reçoit ensuite des commandes du serveur de la menace pour effectuer des comportements malveillants supplémentaires.L'acteur de menace a distribué le fichier LNK confirmé sur un site Web ordinaire en le téléchargeant aux côtés de logiciels malveillants dans un fichier compressé.Le LNK malveillant ...
AhnLab Security Emergency response Center (ASEC) has confirmed that malware [1], which was previously distributed in CHM format, is now being distributed in LNK format. This malware executes additional scripts located at a specific URL through the mshta process. It then receives commands from the threat actor’s server to carry out additional malicious behaviors. The threat actor has been distributing the confirmed LNK file on a regular website by uploading it alongside malware within a compressed file. The malicious LNK... |
Malware Threat | APT 37 | ★★★ |
|
2023-09-05 15:45:00 | Les chercheurs mettent en garde contre les cyber-armes utilisées par le groupe Andariel du groupe Lazarus \\ Researchers Warn of Cyber Weapons Used by Lazarus Group\\'s Andariel Cluster (lien direct) |
L'acteur de menace nord-coréen connue sous le nom d'Andariel a été observé en utilisant un arsenal d'outils malveillants dans ses cyber-assaut contre les sociétés et les organisations de l'homologue du Sud.
"Une caractéristique des attaques identifiées en 2023 est qu'il existe de nombreuses souches de logiciels malveillants développées dans la langue go", a déclaré le Ahnlab Security Emergency Response Center (ASEC) dans une plongée profonde
The North Korean threat actor known as Andariel has been observed employing an arsenal of malicious tools in its cyber assaults against corporations and organizations in the southern counterpart. “One characteristic of the attacks identified in 2023 is that there are numerous malware strains developed in the Go language,” the AhnLab Security Emergency Response Center (ASEC) said in a deep dive |
Malware Tool Threat | APT 38 | ★★ |
 |
2023-08-25 22:04:17 | Cisco Talos Research : Une nouvelle campagne d'attaque contre les logiciels malveillants du groupe Lazarus frappe les entreprises britanniques et américaines Cisco Talos Research: New Lazarus Group Attack Malware Campaign Hits UK & US Businesses (lien direct) |
Le rapport Cisco Talos expose de nouveaux logiciels malveillants utilisés par le groupe pour cibler l'infrastructure de base Internet et les organismes de santé au Royaume-Uni et aux États-Unis.
The Cisco Talos report exposes new malware used by the group to target Internet backbone infrastructure and healthcare organizations in the U.K. and the U.S. |
Malware | APT 38 APT 38 | ★★★ |
 |
2023-08-25 13:32:00 | Un nouveau malware du nord-coréen Lazarus utilisé contre le secteur de la santé New malware from North Korea\\'s Lazarus used against healthcare industry (lien direct) |
Un groupe de hackers notoire travaillant pour le compte du gouvernement nord-coréen utilise une nouvelle souche de malware pour attaquer les établissements de santé et l'infrastructure de base Internet en Europe et aux États-Unis.Des chercheurs en sécurité de Cisco Talos publié deux rapports décrivant une série d'incidents impliquant le groupe de piratage informatique Lazarus de longue date, qui ont fait la une des journaux.
A notorious hacking group working on behalf of the North Korean government is using a new strain of malware to attack healthcare entities and internet backbone infrastructure in Europe and the United States. Security researchers from Cisco Talos published two reports outlining a string of incidents involving the long-running Lazarus hacking group, which garnered headlines |
Malware | APT 38 APT 38 | ★★★ |
 |
2023-08-25 07:30:00 | Le groupe Lazarus cible l'infrastructure Internet et les soins de santé avec le logiciel malveillant \\'QuiteRAT\\' Lazarus Group Targets Internet Infrastructure and Healthcare with \\'QuiteRAT\\' Malware (lien direct) |
QuiteRAT, le nouveau malware du groupe soutenu par la Corée du Nord, exploite une vulnérabilité ManageEngine ServiceDesk de 2022
QuiteRAT, the North-Korea-Backed group\'s new malware, exploits a 2022 ManageEngine ServiceDesk vulnerability |
Malware Vulnerability | APT 38 APT 38 | ★★ |
|
2023-08-24 20:46:00 | Le groupe Lazarus exploite la faille critique Zoho Manage en train de déployer des logiciels malveillants furtifs Lazarus Group Exploits Critical Zoho ManageEngine Flaw to Deploy Stealthy QuiteRAT Malware (lien direct) |
L'acteur de menaces en Corée du Nord connu sous le nom de groupe Lazare a été observé exploitant un défaut de sécurité critique maintenant paralysé un impact sur Zoho ManageEngine Servicedesk Plus pour distribuer un chevalier d'accès à distance appelé tel que quiterat.
Les objectifs comprennent des infrastructures de l'épine dorsale sur Internet et des entités de santé en Europe et aux États-Unis, la société de cybersécurité Cisco Talos a déclaré dans une analyse en deux parties
The North Korea-linked threat actor known as Lazarus Group has been observed exploiting a now-patched critical security flaw impacting Zoho ManageEngine ServiceDesk Plus to distribute a remote access trojan called such as QuiteRAT. Targets include internet backbone infrastructure and healthcare entities in Europe and the U.S., cybersecurity company Cisco Talos said in a two-part analysis |
Malware Threat | APT 38 APT 38 | ★★ |
|
2023-08-11 15:42:00 | Les chercheurs mettent en lumière les déposées avancées et les tactiques d'exfiltration des données d'APT31 \\ Researchers Shed Light on APT31\\'s Advanced Backdoors and Data Exfiltration Tactics (lien direct) |
L'acteur de menace chinois connue sous le nom d'APT31 (alias Bronze Vinewood, Judgment Panda ou Violet Typhoon) a été lié à un ensemble de déambulations avancées qui sont capables d'exfiltration d'informations sensibles récoltées à Dropbox.
Le malware fait partie d'une collection plus large de plus de 15 implants qui ont été utilisés par l'adversaire dans les attaques ciblant les organisations industrielles en Europe de l'Est
The Chinese threat actor known as APT31 (aka Bronze Vinewood, Judgement Panda, or Violet Typhoon) has been linked to a set of advanced backdoors that are capable of exfiltrating harvested sensitive information to Dropbox. The malware is part of a broader collection of more than 15 implants that have been put to use by the adversary in attacks targeting industrial organizations in Eastern Europe |
Malware Threat Industrial | APT 31 APT 31 | ★★ |
 |
2023-08-10 10:00:00 | Les systèmes Mac se sont transformés en nœuds de sortie proxy par adcharge Mac systems turned into proxy exit nodes by AdLoad (lien direct) |
This blog was jointly written by Fernando Martinez Sidera and Ofer Caspi, AT&T Alien Labs threat intelligence researchers.
Executive summary
AdLoad malware is still infecting Mac systems years after its first appearance in 2017. AdLoad, a package bundler, has been observed delivering a wide range of payloads throughout its existence. During AT&T Alien Labs’ investigation of its most recent payload, it was discovered that the most common component dropped by AdLoad during the past year has been a proxy application turning MacOS AdLoad victims into a giant, residential proxy botnet.
Key takeaways:
AdLoad malware is still present and infecting systems, with a previously unreported payload.
At least 150 samples have been observed in the wild during the last year.
AT&T Alien Labs has observed thousands of IPs behaving as proxy exit nodes in a manner similar to AdLoad infected systems. This behavior could indicate that thousands of Mac systems have been hijacked to act as proxy exit nodes.
The samples analyzed in this blog are unique to MacOS, but Windows samples have also been observed in the wild.
Analysis
AdLoad is one of several widespread adware and bundleware loaders currently impacting macOS. The OSX malware has been present since 2017, with big campaigns in the last two years as reported by SentinelOne in 2021 and Microsoft in 2022. As stated in Microsoft’s report on UpdateAgent, a malware delivering AdLoad through drive-by compromise, AdLoad redirected users’ traffic through the adware operators’ servers, injecting advertisements and promotions into webpages and search results with a Person-in-The-Middle (PiTM) attack.
These two previous campaigns, together with the campaign described in this blog, support the theory that AdLoad could be running a pay-per-Install campaign in the infected systems.
The main purpose of the malware has always been to act as a downloader for subsequent payloads.
It has been identified delivering a wide range of payloads (adware, bundleware, PiTM, backdoors, proxy applications, etc.) every few months to a year, sometimes conveying different payloads depending on the system settings such as geolocation, device make and model, operating system version, or language settings, as reported by SentinelOne.
In all observed samples, regardless of payload, they report an Adload server during execution on the victim’s system.
This beacon (analyzed later in Figure 3 & 4) includes system information in the user agent and the body, without any relevant response aside from a 200 HTTP response code.
This activity probably represents AdLoad\'s method of keeping count of the number of infected systems, supporting the pay-per-Install scheme.
AT&T Alien Labs™ has observed similar activity in our threat analysis systems throughout the last year, with the AdLoad malware being installed in the infected systems. However, Alien Labs is now observing a previously unreported payload being delivered to the victims. The payload corresponds to a proxy application, converting its targets into proxy exit nodes after infection. As seen in Figure 1, the threat actors behind this campaign have been very active since the beginning of 2022.
Figure 1. Histogram of AdLoad samples identified by Alien Labs.
The vast numb |
Spam Malware Threat Cloud | APT 32 | ★★ |
|
2023-07-24 16:34:23 | Lazarus Hackers Hijack Microsoft IIS serveurs pour répandre les logiciels malveillants Lazarus hackers hijack Microsoft IIS servers to spread malware (lien direct) |
Le groupe de piratage de Lazare parrainé par l'État nord-coréen violant les serveurs Web de Windows Internet Information Service (IIS) pour les détourner pour la distribution de logiciels malveillants.[...]
The North Korean state-sponsored Lazarus hacking group is breaching Windows Internet Information Service (IIS) web servers to hijack them for malware distribution. [...] |
Malware | APT 38 | ★★ |
|
2023-07-24 01:00:00 | Groupe de menace de Lazarus attaquant les serveurs Windows à utiliser comme points de distribution de logiciels malveillants Lazarus Threat Group Attacking Windows Servers to Use as Malware Distribution Points (lien direct) |
Ahnlab Security Emergency Response Center (ASEC) a découvert que Lazarus, un groupe de menaces considéré comme des points de distribution à l'échelle nationale, attaque leurs logiciels de Windows Internet (IIS) Services Web et les utilise comme points de distribution pour leurs logiciels malveillants.Le groupe est connu pour utiliser la technique du trou d'arrosage pour l'accès initial. & # 160; [1] Le groupe pirate d'abord les sites Web coréens et modifie le contenu fourni à partir du site.Lorsqu'un système utilisant une version vulnérable d'Inisafe Crossweb Ex V6 visite ce site via un ...
AhnLab Security Emergency response Center (ASEC) has discovered that Lazarus, a threat group deemed to be nationally funded, is attacking Windows Internet Information Service (IIS) web servers and using them as distribution points for their malware. The group is known to use the watering hole technique for initial access. [1] The group first hacks Korean websites and modifies the content provided from the site. When a system using a vulnerable version of INISAFE CrossWeb EX V6 visits this website via a... |
Malware Threat | APT 38 | ★★ |
|
2023-07-10 23:30:00 | Analyse de la porte dérobée Rekoobe utilisée dans les attaques contre les systèmes Linux en Corée Analysis of the Rekoobe Backdoor Being Used In Attacks Against Linux Systems in Korea (lien direct) |
Rekoobe est une porte dérobée connue pour être utilisée par APT31, un groupe de menaces basé en Chine.Ahnlab Security Emergency Response Center (ASEC) reçoit des rapports sur les logiciels malveillants Rekoobe des locataires en Corée depuis plusieurs années et partagera par la présente sa brève analyse.De plus, les variantes de Rekoobe seront classées avec un résumé de celles utilisées pour cibler les entreprises coréennes.1. La vue d'ensemble Rekoobe est une porte dérobée qui cible les environnements Linux.Il a été découvert pour la première fois en 2015, [1] ...
Rekoobe is a backdoor known to be used by APT31, a threat group based in China. AhnLab Security Emergency Response Center (ASEC) has been receiving reports of the Rekoobe malware from tenants in Korea for several years, and will hereby share its brief analysis. Additionally, the Rekoobe variants will be categorized along with a summary of the ones used to target Korean companies. 1. Overview Rekoobe is a backdoor that targets Linux environments. It was first discovered in 2015, [1]... |
Malware Threat | APT 31 | ★★ |
 |
2023-07-10 17:58:00 | Apt35 développe des logiciels malveillants sur mesure mac APT35 Develops Mac Bespoke Malware (lien direct) |
Le groupe APT35 lié à l'Iran a conçu un malware MAC spécifique lors du ciblage d'un membre des supports avec de nouveaux outils pour ajouter des délais.
Iran-linked APT35 group crafted specific Mac malware when targeting a member of the media with new tools to add backdoors. |
Malware | APT 35 APT 35 | ★★★★ |
 |
2023-07-10 11:27:38 | APT35 Develops Mac Bespoke Malware (lien direct) | Pas de details / No more details | Malware | APT 35 APT 35 | ★★ |
|
2023-07-09 11:34:17 | Charming Kitten hackers use new \'NokNok\' malware for macOS (lien direct) | Pas de details / No more details | Malware | APT 35 APT 35 | ★★ |
|
2023-07-09 10:13:16 | Les pirates de chaton charmants utilisent de nouveaux \\ 'noknok \\' malware pour macOS Charming Kitten hackers use new \\'NokNok\\' malware for macOS (lien direct) |
Les chercheurs en sécurité ont observé une nouvelle campagne qu'ils attribuent au charmant groupe Kitten APT où les pirates ont utilisé de nouveaux logiciels malveillants Noknok qui ciblent les systèmes MacOS.[...]
Security researchers observed a new campaign they attribute to the Charming Kitten APT group where hackers used new NokNok malware that targets macOS systems. [...] |
Malware | APT 35 APT 35 | ★★ |
 |
2023-07-07 13:42:29 | Les cyberspies iraniennes ciblent le groupe de réflexion américain avec de nouveaux logiciels malveillants macOS Iranian Cyberspies Target US-Based Think Tank With New macOS Malware (lien direct) |
> En mai 2023, le groupe de cyberespionnage lié à l'Iran Charming Kitten a ciblé un groupe de réflexion basé aux États-Unis avec un nouveau malware macOS.
>In May 2023, Iran-linked cyberespionage group Charming Kitten targeted a US-based think tank with new macOS malware. |
Malware | APT 35 APT 35 | ★★ |
|
2023-07-06 17:42:00 | Des pirates basés en Iran ciblant les experts en sécurité nucléaire via Mac, Windows Malware Iran-based hackers targeting nuclear security experts through Mac, Windows malware (lien direct) |
Les pirates soutenant le gouvernement de l'Iran ciblent des experts des affaires du Moyen-Orient et de la sécurité nucléaire dans une nouvelle campagne qui, selon les chercheurs, impliquait des logiciels malveillants pour les produits Apple et Microsoft.Les experts en cybersécurité de Proofpoint ont attribué la campagne à un groupe qu'ils appellent TA453 mais est également connu sous le nom de Charming Kitten, Mint Sandstorm ou APT42,
Hackers supporting the government of Iran are targeting experts in Middle Eastern affairs and nuclear security in a new campaign that researchers said involved malware for both Apple and Microsoft products. Cybersecurity experts from Proofpoint attributed the campaign to a group they call TA453 but also is known as Charming Kitten, Mint Sandstorm or APT42, |
Malware | APT 35 APT 42 | ★★★ |
|
2023-06-30 19:24:00 | Hackers iraniens charmant chaton utilisent la porte dérobée Powerstar dans les attaques d'espionnage ciblées Iranian Hackers Charming Kitten Utilize POWERSTAR Backdoor in Targeted Espionage Attacks (lien direct) |
Charming Kitten, l'acteur de l'État-nation affilié au Corps de la Garde de la révolution islamique d'Iran \\ (IRGC), a été attribué à une campagne de lance de lance sur mesure qui fournit une version mise à jour d'une porte arrière PowerShell entièrement traduite appelée PowerStar.
"Il y a eu une amélioration des mesures de sécurité opérationnelle placées dans les logiciels malveillants pour rendre plus difficile l'analyse et la collecte de l'intelligence", "
Charming Kitten, the nation-state actor affiliated with Iran\'s Islamic Revolutionary Guard Corps (IRGC), has been attributed to a bespoke spear-phishing campaign that delivers an updated version of a fully-featured PowerShell backdoor called POWERSTAR. "There have been improved operational security measures placed in the malware to make it more difficult to analyze and collect intelligence," |
Malware | APT 35 | ★★ |
 |
2023-06-29 17:18:11 | Acteur de menace iranienne Chichette Chichette à l'aide de la campagne de phishing de lance pour distribuer des logiciels malveillants Iranian Threat Actor Charming Kitten Using Spear Phishing Campaign To Distribute Malware (lien direct) |
Malware Threat | APT 35 | ★★ | |
|
2023-06-29 15:30:00 | Le logiciel malveillant Powerstar de Charming Kitten \\ évolue avec des techniques avancées Charming Kitten\\'s PowerStar Malware Evolves with Advanced Techniques (lien direct) |
Volexity a déclaré que les logiciels malveillants mis à jour utilisent des IPF, l'hébergement du cloud public pour le déchiffrement et la configuration
Volexity said the updated malware uses IPFS, public cloud hosting for decryption and configuration |
Malware Cloud | APT 35 | ★★★ |
|
2023-06-29 13:39:41 | NOUVEAU LA MALWORD EARDRAT LINÉS AU NORTHORAN ANDARIEL PATIRY GROUP New EarlyRAT malware linked to North Korean Andariel hacking group (lien direct) |
Les analystes de la sécurité ont découvert un cheval de Troie (rat) à l'accès à distance (RAT), sans papiers, nommé \\ 'Earkrat, \' utilisé par Andariel, un sous-groupe du groupe de piratage parrainé par l'État de Lazare.[...]
Security analysts have discovered a previously undocumented remote access trojan (RAT) named \'EarlyRAT,\' used by Andariel, a sub-group of the Lazarus North Korean state-sponsored hacking group. [...] |
Malware | APT 38 | ★★ |
|
2023-06-28 15:30:00 | Les erreurs d'Andariel \\ découvrent de nouveaux logiciels malveillants dans la campagne du groupe Lazare Andariel\\'s Mistakes Uncover New Malware in Lazarus Group Campaign (lien direct) |
Kaspersky analyse les tactiques du groupe et révèle l'émergence d'une nouvelle menace appelée EarlyRat
Kaspersky analyzes the group\'s tactics and reveals the emergence of a new threat called EarlyRat |
Malware Threat | APT 38 | ★★★ |
 |
2023-06-28 12:39:49 | Kaspersky découvre une nouvelle famille de logiciels malveillants utilisés par Andariel, le sous-groupe de Lazarus (lien direct) | >Kaspersky a mené une enquête approfondie sur les activités d’Andariel, un sous-groupe notoire du groupe Lazarus. Au cours de cette enquête, les chercheurs de Kaspersky ont découvert une nouvelle famille de logiciels malveillants appelée EarlyRat, qui est utilisée par Andariel en plus de leur utilisation connue du malware DTrack et du ransomware Maui. L’analyse des […] The post Kaspersky découvre une nouvelle famille de logiciels malveillants utilisés par Andariel, le sous-groupe de Lazarus first appeared on UnderNews. | Ransomware Malware | APT 38 | ★★★★ |
|
2023-06-21 21:46:00 | Les pirates de scarcruft exploitent un service habilement pour des attaques d'écoute furtive ScarCruft Hackers Exploit Ably Service for Stealthy Wiretapping Attacks (lien direct) |
L'acteur de menace nord-coréen connu sous le nom de Scarcruft a été observé à l'aide d'un malware malveillant de voleur d'informations avec des fonctionnalités de transition électronique sans papiers précédentes ainsi qu'une porte dérobée développée à l'aide de Golang qui exploite le service de messagerie habilement réel.
"L'acteur de menace a envoyé leurs commandes via la porte dérobée de Golang qui utilise le service habilement", le centre d'intervention d'urgence de la sécurité Ahnlab (
The North Korean threat actor known as ScarCruft has been observed using an information-stealing malware with previous undocumented wiretapping features as well as a backdoor developed using Golang that exploits the Ably real-time messaging service. "The threat actor sent their commands through the Golang backdoor that is using the Ably service," the AhnLab Security Emergency response Center ( |
Malware Threat | APT 37 | ★★ |
|
2023-06-21 16:16:11 | Les pirates APT37 déploient de nouveaux logiciels malveillants FadesESEaler APT37 hackers deploy new FadeStealer eavesdropping malware (lien direct) |
Le groupe de piratage nord-coréen APT37 utilise une nouvelle \\ 'fadesaleler \' malveillants de volet d'informations contenant une fonction \\ 'wiraping \', permettant à l'acteur de menace de fouiner et d'enregistrer à partir des microphones victimes \\ '.[...]
The North Korean APT37 hacking group uses a new \'FadeStealer\' information-stealing malware containing a \'wiretapping\' feature, allowing the threat actor to snoop and record from victims\' microphones. [...] |
Malware Threat | APT 37 APT 37 | ★★ |
|
2023-06-14 23:00:00 | Lezare Menace Group exploitant la vulnérabilité de la solution de sécurité financière coréenne Lazarus Threat Group Exploiting Vulnerability of Korean Finance Security Solution (lien direct) |
comme couvert précédemment ici sur le blog ASEC, le groupe de menace Lazarus exploite les vulnérabilités d'Inisafe Crossweb Ex etMagicline4nx dans leurs attaques.New Malware of Lazarus Threat Group Actor Group exploitant le processus Initch (26 avril 2022) Un cas d'infection par les logiciels malveillants par le groupe d'attaque de Lazarus désactivant les programmes anti-malware avec la technique BYOVD (31 octobre 2022) tout en surveillant les activités du groupe de menaces de Lazarus, Ahnlab Security Emergency Response Center (ASEC) a récemment découvert que la vulnérabilité zéro-jour de Vestcert ...
As covered before here on the ASEC Blog, the Lazarus threat group exploits the vulnerabilities of INISAFE CrossWeb EX and MagicLine4NX in their attacks. New Malware of Lazarus Threat Actor Group Exploiting INITECH Process (Apr 26, 2022) A Case of Malware Infection by the Lazarus Attack Group Disabling Anti-Malware Programs With the BYOVD Technique (Oct 31, 2022) While monitoring the activities of the Lazarus threat group, AhnLab Security Emergency response Center (ASEC) recently discovered that the zero-day vulnerability of VestCert... |
Malware Vulnerability Threat | APT 38 | ★★ |
|
2023-06-13 13:00:00 | CyberheistNews Vol 13 # 24 [Le biais de l'esprit \\] le prétexage dépasse désormais le phishing dans les attaques d'ingénierie sociale CyberheistNews Vol 13 #24 [The Mind\\'s Bias] Pretexting Now Tops Phishing in Social Engineering Attacks (lien direct) |
CyberheistNews Vol 13 #24 | June 13th, 2023
[The Mind\'s Bias] Pretexting Now Tops Phishing in Social Engineering Attacks
The New Verizon DBIR is a treasure trove of data. As we will cover a bit below, Verizon reported that 74% of data breaches Involve the "Human Element," so people are one of the most common factors contributing to successful data breaches. Let\'s drill down a bit more in the social engineering section.
They explained: "Now, who has received an email or a direct message on social media from a friend or family member who desperately needs money? Probably fewer of you. This is social engineering (pretexting specifically) and it takes more skill.
"The most convincing social engineers can get into your head and convince you that someone you love is in danger. They use information they have learned about you and your loved ones to trick you into believing the message is truly from someone you know, and they use this invented scenario to play on your emotions and create a sense of urgency. The DBIR Figure 35 shows that Pretexting is now more prevalent than Phishing in Social Engineering incidents. However, when we look at confirmed breaches, Phishing is still on top."
A social attack known as BEC, or business email compromise, can be quite intricate. In this type of attack, the perpetrator uses existing email communications and information to deceive the recipient into carrying out a seemingly ordinary task, like changing a vendor\'s bank account details. But what makes this attack dangerous is that the new bank account provided belongs to the attacker. As a result, any payments the recipient makes to that account will simply disappear.
BEC Attacks Have Nearly Doubled
It can be difficult to spot these attacks as the attackers do a lot of preparation beforehand. They may create a domain doppelganger that looks almost identical to the real one and modify the signature block to show their own number instead of the legitimate vendor.
Attackers can make many subtle changes to trick their targets, especially if they are receiving many similar legitimate requests. This could be one reason why BEC attacks have nearly doubled across the DBIR entire incident dataset, as shown in Figure 36, and now make up over 50% of incidents in this category.
Financially Motivated External Attackers Double Down on Social Engineering
Timely detection and response is crucial when dealing with social engineering attacks, as well as most other attacks. Figure 38 shows a steady increase in the median cost of BECs since 2018, now averaging around $50,000, emphasizing the significance of quick detection.
However, unlike the times we live in, this section isn\'t all doom and |
Spam Malware Vulnerability Threat Patching | Uber APT 37 ChatGPT ChatGPT APT 43 | ★★ |
 |
2023-05-31 17:19:00 | Anomali Cyber Watch: Shadow Force cible les serveurs coréens, Volt Typhoon abuse des outils intégrés, Cosmicenergy Tests Electric Distribution Perturbation Anomali Cyber Watch: Shadow Force Targets Korean Servers, Volt Typhoon Abuses Built-in Tools, CosmicEnergy Tests Electric Distribution Disruption (lien direct) |
Les différentes histoires de l'intelligence des menaces dans cette itération de la cyber-montre anomali discutent des sujets suivants: Chine, chargement de DLL, vivant de la terre, technologie opérationnelle, ransomware, et Russie .Les CIO liés à ces histoires sont attachés à Anomali Cyber Watch et peuvent être utilisés pour vérifier vos journaux pour une activité malveillante potentielle.
Figure 1 - Diagrammes de résumé du CIO.Ces graphiques résument les CIO attachés à ce magazine et donnent un aperçu des menaces discutées.
Cyber News et Intelligence des menaces
shadowVictiticoor et Coinmin de Force Group \\
(Publié: 27 mai 2023)
Force Shadow est une menace qui cible les organisations sud-coréennes depuis 2013. Il cible principalement les serveurs Windows.Les chercheurs d'AHNLAB ont analysé l'activité du groupe en 2020-2022.Les activités de force fantôme sont relativement faciles à détecter car les acteurs ont tendance à réutiliser les mêmes noms de fichiers pour leurs logiciels malveillants.Dans le même temps, le groupe a évolué: après mars, ses fichiers dépassent souvent 10 Mo en raison de l'emballage binaire.Les acteurs ont également commencé à introduire divers mineurs de crypto-monnaie et une nouvelle porte dérobée surnommée Viticdoor.
Commentaire de l'analyste: Les organisations doivent garder leurs serveurs à jour et correctement configurés avec la sécurité à l'esprit.Une utilisation et une surchauffe du processeur inhabituellement élevées peuvent être un signe du détournement de ressources malveillantes pour l'exploitation de la crypto-monnaie.Les indicateurs basés sur le réseau et l'hôte associés à la force fantôme sont disponibles dans la plate-forme Anomali et il est conseillé aux clients de les bloquer sur leur infrastructure.
mitre att & amp; ck: [mitre att & amp; ck] t1588.003 - obtenir des capacités:Certificats de signature de code | [mitre att & amp; ck] t1105 - transfert d'outils d'entrée | [mitre att & amp; ck] t1027.002 - fichiers ou informations obscurcies: emballage logiciel | [mitre att & amp; ck] t1569.002: exécution du service | [mitre att & amp; ck] T1059.003 - Commande et script Interpréteur: Windows Command Shell | [mitre att & amp; ck] T1547.001 - Exécution de botter ou de connexion automatique: Registre Run Keys / Startup Folder | [mitre att & amp; ck] t1546.008 - Événement Exécution déclenchée: caractéristiques de l'accessibilité | [mitre att & amp; ck] t1543.003 - créer ou modifier le processus système: service Windows | [mitre att & amp; ck] t1554 - compromis le logiciel client binaire | [mitreAtt & amp; ck] t1078.001 - Comptes valides: comptes par défaut | [mitre att & amp; ck] t1140 - désobfuscate / décode ou infor |
Ransomware Malware Tool Vulnerability Threat | APT 38 Guam CosmicEnergy | ★★ |
|
2023-05-24 15:17:19 | NOUVEAUX RETOURS DE MALWOREAUX POWEREXCHANGE Microsoft Exchange Serveurs New PowerExchange malware backdoors Microsoft Exchange servers (lien direct) |
Un nouveau logiciel malveillant basé sur PowerShell surnommé PowereXchange a été utilisé dans les attaques liées aux pirates d'État iraniens de l'APT34 aux serveurs Microsoft Exchange sur site.[...]
A new PowerShell-based malware dubbed PowerExchange was used in attacks linked to APT34 Iranian state hackers to backdoor on-premise Microsoft Exchange servers. [...] |
Malware | APT 34 | ★★ |
|
2023-05-24 15:00:00 | Groupe Lazare ciblant les serveurs Web Microsoft pour lancer des logiciels malveillants d'espionnage Lazarus Group Targeting Microsoft Web Servers to Launch Espionage Malware (lien direct) |
Les chercheurs détaillent la technique de chargement latéral DLL utilisé pour déployer des logiciels malveillants qui facilitent le vol d'identification et le mouvement latéral
Researchers detail the DLL side-loading technique used to deploy malware that facilitates credential theft and lateral movement |
Malware | APT 38 | ★★ |
|
2023-05-24 13:00:00 | Le groupe coréen Lazarus cible les serveurs Microsoft IIS pour déployer des logiciels malveillants d'espionnage N. Korean Lazarus Group Targets Microsoft IIS Servers to Deploy Espionage Malware (lien direct) |
Le tristement célèbre acteur du groupe Lazarus a ciblé les versions vulnérables des serveurs Microsoft Internet Information Services (IIS) comme voie de violation initiale pour déployer des logiciels malveillants sur des systèmes ciblés.
Les résultats proviennent du Ahnlab Security Emergency Response Center (ASEC), qui a détaillé la poursuite de la menace persistante avancée (APT) Abus continu des techniques de chargement secondaire DLL pour déployer des logiciels malveillants.
"Le
The infamous Lazarus Group actor has been targeting vulnerable versions of Microsoft Internet Information Services (IIS) servers as an initial breach route to deploy malware on targeted systems. The findings come from the AhnLab Security Emergency response Center (ASEC), which detailed the advanced persistent threat\'s (APT) continued abuse of DLL side-loading techniques to deploy malware. "The |
Malware | APT 38 | ★★ |
|
2023-05-09 20:02:00 | Anomali Cyber Watch: l'environnement virtuel personnalisé cache Fluorshe Anomali Cyber Watch: Custom Virtual Environment Hides FluHorse, BabyShark Evolved into ReconShark, Fleckpe-Infected Apps Add Expensive Subscriptions (lien direct) |
The various threat intelligence stories in this iteration of the Anomali Cyber Watch discuss the following topics: APT, Defense evasion, Infostealers, North Korea, Spearphishing, and Typosquatting. The IOCs related to these stories are attached to Anomali Cyber Watch and can be used to check your logs for potential malicious activity. 
Figure 1 - IOC Summary Charts. These charts summarize the IOCs attached to this magazine and provide a glimpse of the threats discussed.
Trending Cyber News and Threat Intelligence
Deconstructing Amadey’s Latest Multi-Stage Attack and Malware Distribution
(published: May 5, 2023)
McAfee researchers have detected a multi-stage attack that starts with a trojanized wextract.exe, Windows executable used to extract files from a cabinet (CAB) file. It was used to deliver the AgentTesla, Amadey botnet, LockBit ransomware, Redline Stealer, and other malicious binaries. To avoid detection, the attackers use obfuscation and disable Windows Defender through the registry thus stopping users from turning it back on through the Defender settings.
Analyst Comment: Threat actors are always adapting to the security environment to remain effective. New techniques can still be spotted with behavioral analysis defenses and social engineering training. Users should report suspicious files with double extensions such as .EXE.MUI. Indicators associated with this campaign are available in the Anomali platform and users are advised to block these on their infrastructure.
MITRE ATT&CK: [MITRE ATT&CK] T1562.001: Disable or Modify Tools | [MITRE ATT&CK] T1555 - Credentials From Password Stores | [MITRE ATT&CK] T1486: Data Encrypted for Impact | [MITRE ATT&CK] T1027 - Obfuscated Files Or Information
Tags: malware:Amadey, malware-type:Botnet, malware:RedLine, malware:AgentTesla, malware-type:Infostealer, malware:LockBit, malware-type:Ransomware, abused:Wextract.exe, file-type:CAB, file-type:EXE, file-type:MUI, target-program:Windows Defender, target-system:Windows
Eastern Asian Android Assault – FluHorse
(published: May 4, 2023)
Active since May 2022, a newly-detected Android stealer dubbed FluHorse spreads mimicking popular apps or as a fake dating application. According to Check Point researchers, FluHorse was targeting East Asia (Taiwan and Vietnam) while remaining undetected for months. This stealthiness is achieved by sticking to minimal functions while also relying on a custom virtual machine that comes with the Flutter user interface software development kit. FluHorse is being distributed via emails that prompt the recipient to install the app and once installed, it asks for the user’s credit card or banking data. If a second factor authentication is needed to commit banking fraud, FluHorse tells the user to wait for 10-15 minutes while intercepting codes by installing a listener for all incoming SMS messages.
Analyst Comment: FluHorse\'s ability to remain undetected for months makes it a dangerous threat. Users should avoid installing applications following download links received via email or other messaging. Verify the app authenticity on the official com |
Malware Tool Threat | APT 37 APT 43 | ★★★ |
|
2023-05-07 23:30:00 | AHNLAB EDR suit et répond contre le fichier de liaison (* .lnk) Distribution de Rokrat AhnLab EDR Tracks and Responds against Link File (*.lnk) Distributing RokRAT (lien direct) |
Ahnlab Security Emergency Response Center (ASEC) a partagé des informations concernant le groupe de menaces Redeyes (également connu sous le nom d'APT37, Scarcruft), qui a distribué CHM malware déguisé en e-mail de sécurité d'une société financière coréenne le mois dernier.Le fichier LNK contient une commande PowerShell et effectue un comportement malveillant sans la connaissance de l'individu qui utilise le fichier PDF normal en créant et en exécutant des fichiers de script ainsi que des fichiers normaux dans le chemin d'accès temporaire.Si un fichier LNK malveillant est injecté dans un ...
AhnLab Security Emergency response Center (ASEC) has shared information regarding the RedEyes threat group (also known as APT37, ScarCruft), who distributed CHM Malware Disguised as Security Email from a Korean Financial Company last month. The LNK file contains a PowerShell command and performs malicious behavior without the knowledge of the individual who uses the normal pdf file by creating and executing script files along with normal files in the temp path. If a malicious LNK file is injected into a... |
Malware Threat | APT 37 | ★★ |
|
2023-05-02 12:24:00 | Scarcruft de la Corée du Nord déploie des logiciels malveillants Rokrat via des chaînes d'infection des fichiers LNK North Korea\\'s ScarCruft Deploys RokRAT Malware via LNK File Infection Chains (lien direct) |
L'acteur de menace nord-coréenne connue sous le nom de Scarcruft a commencé à expérimenter avec des fichiers LNK surdimensionnés comme voie de livraison pour les logiciels malveillants de Rokrat dès juillet 2022, le même mois, Microsoft a commencé à bloquer les macros entre les documents de bureau par défaut.
"Rokrat n'a pas changé de manière significative au fil des ans, mais ses méthodes de déploiement ont évolué, utilisant désormais des archives contenant des fichiers LNK qui initient
The North Korean threat actor known as ScarCruft began experimenting with oversized LNK files as a delivery route for RokRAT malware as early as July 2022, the same month Microsoft began blocking macros across Office documents by default. "RokRAT has not changed significantly over the years, but its deployment methods have evolved, now utilizing archives containing LNK files that initiate |
Malware Threat | APT 37 | ★★ |
|
2023-05-01 23:16:00 | Anomali Cyber Watch: APT37 adopte les fichiers LNK, Charming Kitten utilise le bordereau d'implant Bellaciao, le cryptage de remappage d'octet unique Vipersoftx InfostEaler Anomali Cyber Watch: APT37 Adopts LNK Files, Charming Kitten Uses BellaCiao Implant-Dropper, ViperSoftX Infostealer Unique Byte Remapping Encryption (lien direct) |
Les diverses histoires de l'intelligence des menaces dans cette itération de l'anomali cyber watch discutent les sujets suivants: apt, Remapping, Cloud C2s, Infostalers, Iran, Corée du Nord, Rats, et vulnérabilités .Les CIO liés à ces histoires sont attachés à Anomali Cyber Watch et peuvent être utilisés pour vérifier vos journaux pour une activité malveillante potentielle.
Figure 1 - Diagrammes de résumé du CIO.Ces graphiques résument les CIO attachés à ce magazine et donnent un aperçu des menaces discutées.
Cyber News et Intelligence des menaces
Réaction en chaîne: Rokrat & rsquo; s.Lien manquant
(Publié: 1er mai 2023)
Depuis 2022, le groupe parrainé par le Nord-Korea APT37 (Group123, Ricochet Chollima) a principalement changé ses méthodes de livraison de Maldocs pour cacher des charges utiles à l'intérieur des fichiers LNK surdimensionnés.Vérifier les chercheurs a identifié plusieurs chaînes d'infection utilisées par le groupe de juillet 2022 à avril 2023. Celles-ci ont été utilisées pour livrer l'un des outils personnalisés de l'APT37 (Goldbackdoor et Rokrat), ou le malware de marchandises Amadey.Tous les leurres étudiés semblent cibler des personnes coréennes avec des sujets liés à la Corée du Sud.
Commentaire de l'analyste: Le passage aux chaînes d'infection basées sur LNK permet à APT37 de l'interaction utilisateur moins requise car la chaîne peut être déclenchée par un simple double clic.Le groupe continue l'utilisation de Rokrat bien triés qui reste un outil furtif avec ses couches supplémentaires de cryptage, le cloud C2 et l'exécution en mémoire.Les indicateurs associés à cette campagne sont disponibles dans la plate-forme Anomali et il est conseillé aux clients de les bloquerleur infrastructure.
mitre att & amp; ck: [mitre att & amp; ck] t1059.001: Powershell | [mitre att & amp; ck] t1055 - injection de processus | [mitre att & amp; ck] t1027 - fichiers ou informations obscurcis | [mitre att & amp; ck] t1105 - transfert d'outils d'entrée | [mitre att & amp; ck] t1204.002 - Exécution des utilisateurs: fichier malveillant | [mitre att & amp; ck] t1059.005 - commande et script interprète: visuel basique | [mitre att & amp; ck] t1140 - désobfuscate / décode ou informations | [mitre att & amp; ck] T1218.011 - Exécution par proxy binaire signée: Rundll32
Tags: malware: Rokrat, mitre-software-id: s0240, malware-Type: Rat, acteur: Groupe123, mitre-groupe: APT37, acteur: Ricochet Chollima, Country source: Corée du Nord, Country source: KP, Cible-Country: Corée du Sud, Cible-Country: KR, Type de fichier: Zip, déposer-Type: Doc, Fichier-Type: ISO, Fichier-Type: LNK, File-Type: Bat, File-Type: EXE, Fichier-Type: VBS, malware: Amadey,MALWARE: Goldbackdoor, Type de logiciels malveillants: porte dérobée, abusée: Pcloud, abusé: Cloud Yandex, abusé: OneDrive, abusé: & # 8203; & # 8203; Processeur de mots Hangul, abusé: themida, système cible: Windows
|
Ransomware Malware Tool Vulnerability Threat Prediction Cloud | APT 37 APT 37 APT 35 | ★★ |
|
2023-04-30 16:51:00 | Iran apt utilisant \\ 'Bellaciao \\' malware contre les cibles aux États-Unis, en Europe et en Asie Iran APT using \\'BellaCiao\\' malware against targets in US, Europe and Asia (lien direct) |
Un groupe de piratage parrainé par l'État iranien a été accusé d'avoir déployé une nouvelle souche de logiciels malveillants nommé Bellaciao contre plusieurs victimes aux États-Unis, en Europe, en Inde, en Turquie et dans d'autres pays.Des chercheurs de la société de cybersécurité Bitdefender [attribuée] (https://www.bitdefender.com/blog/businessinsights/unpacking-bellaciaooo-a-closer-look-at-irans-latest-malware/) le maline à APT35 / APT42 & #8211;également connu sous le nom de Mint Sandstorm ou Charming Kitten & # 8211;un groupe de menaces persistantes avancé qui
An Iranian state-sponsored hacking group has been accused of deploying a new strain of malware named BellaCiao against several victims in the U.S., Europe, India, Turkey and other countries. Researchers from cybersecurity firm Bitdefender [attributed](https://www.bitdefender.com/blog/businessinsights/unpacking-bellaciao-a-closer-look-at-irans-latest-malware/) the malware to APT35/APT42 – also known as Mint Sandstorm or Charming Kitten – an advanced persistent threat group that |
Malware Threat | APT 35 APT 42 | ★★★ |
|
2023-04-28 20:18:35 | \\ 'Bellaciao \\' présente comment les groupes de menaces d'Iran \\ modernisent leur malware \\'BellaCiao\\' Showcases How Iran\\'s Threat Groups Are Modernizing Their Malware (lien direct) |
Le compte-gouttes est utilisé dans une charmante campagne pour chaton qui a frappé des organisations dans plusieurs pays.
The dropper is being used in a Charming Kitten APT campaign that has hit organizations in multiple countries. |
Malware Threat | APT 35 | ★★ |
 |
2023-04-28 01:30:56 | (Déjà vu) Chaton charmant utilisant de nouveaux logiciels malveillants dans des attaques multi-pays Charming Kitten Using New Malware in Multi-Country Attacks (lien direct) |
Charming Kitten, le tristement célèbre groupe iranien de l'État-nation, vise activement les victimes à travers l'Europe, les États-Unis, l'Inde et le Moyen-Orient avec un nouveau logiciel malveillant surnommé Bellaciao.Le malware est le dernier de leur vaste trousse à outils personnalisée.Bellaciao a été découverte par Bitdefender, qui décrivent le malware comme a & # 8220; compte-gouttes personnalisé & # 8221;C'est capable de fournir des charges utiles de logiciels malveillants sur [& # 8230;]
Charming Kitten, the infamous Iranian nation-state group, is actively targeting victims across Europe, U.S., India and Middle East with a new malware dubbed BellaCiao. The malware is the latest in their expansive custom tool kit. BellaCiao was discovered by Bitdefender, who describe the malware as a “personalised dropper” that’s capable of delivering malware payloads onto […] |
Malware Tool | APT 35 APT 35 | ★★ |
 |
2023-04-27 10:17:55 | Chichette charmante cible l'infrastructure critique aux États-Unis et ailleurs avec des logiciels malveillants de Bellaciao Charming Kitten targets critical infrastructure in US and elsewhere with BellaCiao malware (lien direct) |
Le groupe de piratage parrainé par l'État iranien Charming Kitten a été nommé groupe responsable d'une nouvelle vague d'attaques ciblant les infrastructures critiques aux États-Unis et ailleurs.Le groupe (qui est également connu des chercheurs en sécurité par une grande variété d'autres noms, dont Mint Sandstorm, le phosphore, le journal et l'APT35) fonctionne depuis au moins 2011, se faisant un nom en ciblant des militants et des journalistes au Moyen-Orient, ainsi que des organisations aux États-Unis, au Royaume-Uni, en Israël et ailleurs.Plus tôt ce mois-ci, Microsoft a annoncé que le groupe, qui ...
Iranian state-sponsored hacking group Charming Kitten has been named as the group responsible for a new wave of attacks targeting critical infrastructure in the United States and elsewhere. The group (who are also known to security researchers by a wide variety of other names including Mint Sandstorm, Phosphorous, Newscaster, and APT35) has been operating since at least 2011, making a name for itself by targeting activists and journalists in the Middle East, as well as organisations in the United States, UK, Israel, and elsewhere. Earlier this month, Microsoft announced that the group, which... |
Malware | APT 35 APT 35 | ★★ |
|
2023-04-26 18:46:00 | Charmant Kitten \\'s New Bellaciao Malware découvert dans les attaques multi-pays Charming Kitten\\'s New BellaCiao Malware Discovered in Multi-Country Attacks (lien direct) |
Le prolifique groupe iranien de l'État-nation connu sous le nom de Charming Kitten a ciblé plusieurs victimes aux États-Unis, en Europe, au Moyen-Orient et en Inde avec un nouveau logiciel malveillant surnommé Bellaciao, ajoutant à sa liste en constante expansion d'outils personnalisés.
Découvert par Bitdefender Labs, Bellaciao est un "compte-gouttes personnalisé" qui est capable de fournir d'autres charges utiles de logiciels malveillants sur une machine victime en fonction des commandes reçues
The prolific Iranian nation-state group known as Charming Kitten targeted multiple victims in the U.S., Europe, the Middle East and India with a novel malware dubbed BellaCiao, adding to its ever-expanding list of custom tools. Discovered by Bitdefender Labs, BellaCiao is a "personalized dropper" that\'s capable of delivering other malware payloads onto a victim machine based on commands received |
Malware | APT 35 APT 35 | ★★★ |
|
2023-04-25 23:30:00 | ROKRAT Malware distribué via des fichiers LNK (* .lnk): redeyes (Scarcruft) RokRAT Malware Distributed Through LNK Files (*.lnk): RedEyes (ScarCruft) (lien direct) |
Ahnlab Security Emergency Response Center (ASEC) a confirmé que le groupe de menaces Redeyes (également connu sous le nom d'APT37, Scarcruft), qui a distribué CHM malware déguisé en e-mail de sécurité d'une société financière coréenne le mois dernier, a également récemment distribué les logiciels malveillants Rokrat via des fichiers LNK.Rokrat est un logiciel malveillant capable de collecter des informations d'identification des utilisateurs et de télécharger des logiciels malveillants supplémentaires.Le malware était autrefois distribué via des fichiers HWP et Word.Les fichiers LNK qui ont été découverts cette fois contiennent des commandes PowerShell qui peuvent effectuer des malveillants ...
AhnLab Security Emergency response Center (ASEC) confirmed that the RedEyes threat group (also known as APT37, ScarCruft), which distributed CHM Malware Disguised as Security Email from a Korean Financial Company last month, has also recently distributed the RokRAT malware through LNK files. RokRAT is malware that is capable of collecting user credentials and downloading additional malware. The malware was once distributed through HWP and Word files. The LNK files that were discovered this time contain PowerShell commands that can perform malicious... |
Malware Threat | APT 37 | ★★★ |
|
2023-04-25 18:22:00 | Anomali Cyber Watch: Deux attaques de la chaîne d'approvisionnement enchaînées, leurre de communication DNS furtive de chien, Evilextractor exfiltrates sur le serveur FTP Anomali Cyber Watch: Two Supply-Chain Attacks Chained Together, Decoy Dog Stealthy DNS Communication, EvilExtractor Exfiltrates to FTP Server (lien direct) |
The various threat intelligence stories in this iteration of the Anomali Cyber Watch discuss the following topics: APT, Cryptomining, Infostealers, Malvertising, North Korea, Phishing, Ransomware, and Supply-chain attacks. The IOCs related to these stories are attached to Anomali Cyber Watch and can be used to check your logs for potential malicious activity. 
Figure 1 - IOC Summary Charts. These charts summarize the IOCs attached to this magazine and provide a glimpse of the threats discussed.
Trending Cyber News and Threat Intelligence
First-Ever Attack Leveraging Kubernetes RBAC to Backdoor Clusters
(published: April 21, 2023)
A new Monero cryptocurrency-mining campaign is the first recorded case of gaining persistence via Kubernetes (K8s) Role-Based Access Control (RBAC), according to Aquasec researchers. The recorded honeypot attack started with exploiting a misconfigured API server. The attackers preceded by gathering information about the cluster, checking if their cluster was already deployed, and deleting some existing deployments. They used RBAC to gain persistence by creating a new ClusterRole and a new ClusterRole binding. The attackers then created a DaemonSet to use a single API request to target all nodes for deployment. The deployed malicious image from the public registry Docker Hub was named to impersonate a legitimate account and a popular legitimate image. It has been pulled 14,399 times and 60 exposed K8s clusters have been found with signs of exploitation by this campaign.
Analyst Comment: Your company should have protocols in place to ensure that all cluster management and cloud storage systems are properly configured and patched. K8s buckets are too often misconfigured and threat actors realize there is potential for malicious activity. A defense-in-depth (layering of security mechanisms, redundancy, fail-safe defense processes) approach is a good mitigation step to help prevent actors from highly-active threat groups.
MITRE ATT&CK: [MITRE ATT&CK] T1190 - Exploit Public-Facing Application | [MITRE ATT&CK] T1496 - Resource Hijacking | [MITRE ATT&CK] T1036 - Masquerading | [MITRE ATT&CK] T1489 - Service Stop
Tags: Monero, malware-type:Cryptominer, detection:PUA.Linux.XMRMiner, file-type:ELF, abused:Docker Hub, technique:RBAC Buster, technique:Create ClusterRoleBinding, technique:Deploy DaemonSet, target-system:Linux, target:K8s, target:Kubernetes RBAC
3CX Software Supply Chain Compromise Initiated by a Prior Software Supply Chain Compromise; Suspected North Korean Actor Responsible
(published: April 20, 2023)
Investigation of the previously-reported 3CX supply chain compromise (March 2023) allowed Mandiant researchers to detect it was a result of prior software supply chain attack using a trojanized installer for X_TRADER, a software package provided by Trading Technologies. The attack involved the publicly-available tool SigFlip decrypting RC4 stream-cipher and starting publicly-available DaveShell shellcode for reflective loading. It led to installation of the custom, modular VeiledSignal backdoor. VeiledSignal additional modules inject the C2 module in a browser process instance, create a Windows named pipe and |
Ransomware Spam Malware Tool Threat Cloud | Uber APT 38 ChatGPT APT 43 | ★★ |
|
2023-04-25 16:57:00 | Sous-groupe Lazarus ciblant les appareils Apple avec un nouveau malware macOS de RustBucket Lazarus Subgroup Targeting Apple Devices with New RustBucket macOS Malware (lien direct) |
Un acteur de menace nord-coréen motivé financièrement est soupçonné d'être derrière une nouvelle souche malveillante de pomme de macos appelée Rustbucket.
"[RustBucket] communique avec les serveurs de commande et de contrôle (C2) pour télécharger et exécuter divers PAyloads, "les chercheurs de Jamf Threat Labs Ferdous Saljooki et Jaron Bradley ont déclaré enUn rapport technique publié la semaine dernière.
La société de gestion d'appareils Apple l'a attribuée
A financially-motivated North Korean threat actor is suspected to be behind a new Apple macOS malware strain called RustBucket. "[RustBucket] communicates with command and control (C2) servers to download and execute various payloads," Jamf Threat Labs researchers Ferdous Saljooki and Jaron Bradley said in a technical report published last week. The Apple device management company attributed it |
Malware Threat | APT 38 | ★★★ |
|
2023-04-24 15:38:54 | ESET Research découvre une campagne menée par le groupe APT Lazarus ciblant des utilisateurs de Linux (lien direct) | Les chercheurs d'ESET ont découvert une nouvelle campagne " Operation DreamJob " menée par le groupe Lazarus ciblant des utilisateurs de Linux. " Operation DreamJob " est le nom d'une série de campagnes qui utilisent des techniques d'ingénierie sociale pour compromettre leurs cibles, avec de fausses offres d'emploi comme appât. ESET a reconstitué la chaîne complète, depuis le fichier ZIP qui fournit une fausse offre d'emploi chez HSBC en guise de leurre jusqu'au malware final contenant la porte dérobée. Les similitudes observées dans cette porte dérobée Linux la relient avec grande certitude à l'attaque contre la chaîne d'approvisionnement de 3CX. L'entreprise a été piratée et son logiciel a été utilisé dans une attaque distribuant des malwares à des clients spécifiques via la chaîne d'approvisionnement de 3CX. L'attaque a été planifiée longtemps à l'avance, depuis le mois de décembre 2022. - Malwares | Malware | APT 38 | ★★ |
To see everything:
Our RSS (filtrered)
