🔴 گروه ایرانی Scarred Manticore، خاورمیانه را با بدافزار LIONTAIL هدف قرار میدهد
گروه Scarred Manticore سازمانهای مطرحی را هدف قرار میدهد که مشخصا بر ارتباطات راه دور، نظامی و نهادهای دولتی جدای از موسسات مالی، ارائهدهندگان خدمات فناوری اطلاعات و سازمانهای غیردولتی تمرکز دارند.
مجموعه Check Point Research و تیم پاسخگویی به حوادث Sygnia در ادعاهای خود، یک کمپین جاسوسی جدید ایرانی را که با گروه تهدید Scarred Manticore مرتبط است، کشف کردهاند.
در گزارش چکپوینت ریسرچ با عنوان «از آلبانی تا خاورمیانه: مانتیکور زخمی در حال گوش دادن است»، آمده است که این گروه از یک فریمورک بدافزاری که قبلا شناسایی نشده به نام LIONTAIL استفاده میکند. این بدافزار از بارگذارهای سفارشی و payloadهای shellcode مستقر در حافظه استفاده میکند تا عملکردهای مخرب خود را در ترافیک شبکه قانونی ادغام کند.
#Cybersecurity #Cyber_Attack #Scarred_Manticore #LIONTAIL #Malware #Backdoor #Iran #Israel #Digital_Chameleon #OilRig #Framework #امنیت_سایبری #حمله_سایبری #بدافزار
مطالعه کامل خبر 👉
@Engineer_Computer
گروه Scarred Manticore سازمانهای مطرحی را هدف قرار میدهد که مشخصا بر ارتباطات راه دور، نظامی و نهادهای دولتی جدای از موسسات مالی، ارائهدهندگان خدمات فناوری اطلاعات و سازمانهای غیردولتی تمرکز دارند.
مجموعه Check Point Research و تیم پاسخگویی به حوادث Sygnia در ادعاهای خود، یک کمپین جاسوسی جدید ایرانی را که با گروه تهدید Scarred Manticore مرتبط است، کشف کردهاند.
در گزارش چکپوینت ریسرچ با عنوان «از آلبانی تا خاورمیانه: مانتیکور زخمی در حال گوش دادن است»، آمده است که این گروه از یک فریمورک بدافزاری که قبلا شناسایی نشده به نام LIONTAIL استفاده میکند. این بدافزار از بارگذارهای سفارشی و payloadهای shellcode مستقر در حافظه استفاده میکند تا عملکردهای مخرب خود را در ترافیک شبکه قانونی ادغام کند.
#Cybersecurity #Cyber_Attack #Scarred_Manticore #LIONTAIL #Malware #Backdoor #Iran #Israel #Digital_Chameleon #OilRig #Framework #امنیت_سایبری #حمله_سایبری #بدافزار
مطالعه کامل خبر 👉
@Engineer_Computer
👍1👎1🔥1
#APT34 #OilRig #Earth_Simnavaz
تیم APT34 اخیرا حمله ای رو در خاورمیانه انجام داده که نسبت به نسخه های قبل TTP پیشرفته تری داشته است.
زنجیره حمله به این صورت بوده که بواسطه یک آسیب پذیری عمومی یک Web Shell بر روی وبسرور MS Exchange قربانی بار گزاری کرده و ی تونل پروتکل RMM بر پایه Ngrok پیاده سازی میشه.
در مرحله بعدی مهاجمین بواسطه یک آسیب پذیری Race Condition با شناسه CVE-2024-30088 روی ساختمان _AUTHZBASEP_SECURITY_ATTRIBUTES_INFORMATION اجرا میشه که مستقیما مقادیرش رو از سمت کاربر و بواسطه اشاره گر SecurityAttribute میگیره که این اشاره گر با RC امکان کپی Shellcode با RtlCopyUnicodeString رو خواهد داد.
که البته Shellcode مورد استفاده در اصل یک ابزار منبع باز با نام RunPE-In-Memory بوده که میاد یک فایل فرمت PE رو در حافظه مستقیما Map میکنه بی آنکه Stage ازش در حافظه سخت باشه.
اما بعد از ارتقاء سطح دسترسی مهاجمین میان و Register Password filter DLL رو دستکاری میکنند و با PasswordFilter اقدام به بازیابی اطلاعات کاربران Exchange میکنند.
@Engineer_Computer
تیم APT34 اخیرا حمله ای رو در خاورمیانه انجام داده که نسبت به نسخه های قبل TTP پیشرفته تری داشته است.
زنجیره حمله به این صورت بوده که بواسطه یک آسیب پذیری عمومی یک Web Shell بر روی وبسرور MS Exchange قربانی بار گزاری کرده و ی تونل پروتکل RMM بر پایه Ngrok پیاده سازی میشه.
در مرحله بعدی مهاجمین بواسطه یک آسیب پذیری Race Condition با شناسه CVE-2024-30088 روی ساختمان _AUTHZBASEP_SECURITY_ATTRIBUTES_INFORMATION اجرا میشه که مستقیما مقادیرش رو از سمت کاربر و بواسطه اشاره گر SecurityAttribute میگیره که این اشاره گر با RC امکان کپی Shellcode با RtlCopyUnicodeString رو خواهد داد.
که البته Shellcode مورد استفاده در اصل یک ابزار منبع باز با نام RunPE-In-Memory بوده که میاد یک فایل فرمت PE رو در حافظه مستقیما Map میکنه بی آنکه Stage ازش در حافظه سخت باشه.
اما بعد از ارتقاء سطح دسترسی مهاجمین میان و Register Password filter DLL رو دستکاری میکنند و با PasswordFilter اقدام به بازیابی اطلاعات کاربران Exchange میکنند.
@Engineer_Computer