🔴 هشدار جدی مایکروسافت برای انتشار باجافزار Royal و سایر بدافزارها
مایکروسافت هشدار می دهد که یک عامل تهدید که با نام DEV-0569 شناخته شده و به دلیل توزیع paylaodهای مخرب مختلف شناخته می شود، به تازگی در حال بروزرسانی روش های تحویل محتوای مخرب خود، مشاهده شده است.
گروه DEV-0569 برای توزیع بدافزار به تبلیغات مخرب (malvertising)، نظرات بلاگ، صفحات انجمن جعلی و لینکهای فیشینگ متکی بوده است.
با این حال، طی چند ماه گذشته، مایکروسافت متوجه شد که عامل تهدید شروع به استفاده از فرمهای تماس برای ارائه لینکهای فیشینگ کرده است، در حالی که این گروه، میزبان نصبکنندههای جعلی در سایتهای دانلود نرمافزار قانونی و مخازن قانونی مانند GitHub و OneDrive است.
مهاجان همچنان به تبلیغات مخرب برای توزیع بدافزار متکی هستند و حتی این تکنیک را با استفاده از Google Ads در یکی از کمپینها گسترش دادهاند.
#Cybersecurity #Cyber_Attack #Royal #Malware #DEV0569 #Batloader #Phishing #Malvertising #Google_Ad #Ransomware #GitHub #امنیت_سایبری #حمله_سایبری #بدافزار #فیشینگ #باج_افزار
کانال آموزش کامپیوتر
@Engineer_Computer
مایکروسافت هشدار می دهد که یک عامل تهدید که با نام DEV-0569 شناخته شده و به دلیل توزیع paylaodهای مخرب مختلف شناخته می شود، به تازگی در حال بروزرسانی روش های تحویل محتوای مخرب خود، مشاهده شده است.
گروه DEV-0569 برای توزیع بدافزار به تبلیغات مخرب (malvertising)، نظرات بلاگ، صفحات انجمن جعلی و لینکهای فیشینگ متکی بوده است.
با این حال، طی چند ماه گذشته، مایکروسافت متوجه شد که عامل تهدید شروع به استفاده از فرمهای تماس برای ارائه لینکهای فیشینگ کرده است، در حالی که این گروه، میزبان نصبکنندههای جعلی در سایتهای دانلود نرمافزار قانونی و مخازن قانونی مانند GitHub و OneDrive است.
مهاجان همچنان به تبلیغات مخرب برای توزیع بدافزار متکی هستند و حتی این تکنیک را با استفاده از Google Ads در یکی از کمپینها گسترش دادهاند.
#Cybersecurity #Cyber_Attack #Royal #Malware #DEV0569 #Batloader #Phishing #Malvertising #Google_Ad #Ransomware #GitHub #امنیت_سایبری #حمله_سایبری #بدافزار #فیشینگ #باج_افزار
کانال آموزش کامپیوتر
@Engineer_Computer
#Mosesstaff #Iranian #APT #Ransomware
دو گزارش از شرکت های CheckPoint و Cybereason در خصوص TTP حملات تیم ایرانی عصای موسی به قربانیان خود منتشر شده که دارای نکات جالبی هستش، در گزارش مطرح شده که این تیم برای ایجاد دسترسی، از آسیب پذیری ناشناخته ای که در خصوص سرورهای ME Exchange استفاده کرده.
اما رفتار تکنیکی تاکتیکی دیگری که در تیم عصای موسی مطرح بوده، استفاده از ابزارهای PsExec، WMIC و Powershell در خصوص جا به جایی در سیستم ها بوده، همچنین در مرحله Impact حمله این تیم از ابزار عمومی DiskCryptor استفاده کرده در راستای رمزنگاری فایل ها و قفل گذاری بر روی Bootloader سیستم قربانی. مورد بعد استفاده از Webshell مبهم سازی شده که با رمزی Hash شده محافظت می شده و مهاجم میبایست رمز رو بصورت MD5 وارد میکرده تا وارد Webshell بشه.
اما نکته مهم استفاده از درایور DCSrv.sys به عنوان یک Rootkit و PyDCrypt به عنوان بستر ساز کل عملیات و تعامل با C2 که به زبان Python و با PyInstaller اون رو Compile و با سوئیچ key— براش رمزی قرار داده میشه و نهایتا اون رو اجرا میکنه...
کانال آموزش کامپیوتر
@Engineer_Computer
دو گزارش از شرکت های CheckPoint و Cybereason در خصوص TTP حملات تیم ایرانی عصای موسی به قربانیان خود منتشر شده که دارای نکات جالبی هستش، در گزارش مطرح شده که این تیم برای ایجاد دسترسی، از آسیب پذیری ناشناخته ای که در خصوص سرورهای ME Exchange استفاده کرده.
اما رفتار تکنیکی تاکتیکی دیگری که در تیم عصای موسی مطرح بوده، استفاده از ابزارهای PsExec، WMIC و Powershell در خصوص جا به جایی در سیستم ها بوده، همچنین در مرحله Impact حمله این تیم از ابزار عمومی DiskCryptor استفاده کرده در راستای رمزنگاری فایل ها و قفل گذاری بر روی Bootloader سیستم قربانی. مورد بعد استفاده از Webshell مبهم سازی شده که با رمزی Hash شده محافظت می شده و مهاجم میبایست رمز رو بصورت MD5 وارد میکرده تا وارد Webshell بشه.
اما نکته مهم استفاده از درایور DCSrv.sys به عنوان یک Rootkit و PyDCrypt به عنوان بستر ساز کل عملیات و تعامل با C2 که به زبان Python و با PyInstaller اون رو Compile و با سوئیچ key— براش رمزی قرار داده میشه و نهایتا اون رو اجرا میکنه...
کانال آموزش کامپیوتر
@Engineer_Computer
⭕️ آخر جولای 2022 FBI تونسته بود به زیرساخت باج افزار Hive نفوذ کنه و کلید رمزگشایی این باج افزار رو بدست بیاره که موجب جلوگیری از ۱۲۰ میلیون دلار باج گیری شد.
وبسایت باج افزار Hive الان لوگوی FBI روی اون هست و متوقف شده است.
همزمان با توقیف زیرساخت های باج افزار Hive توسط امریکا، وبسایت های پاداش برای عدالت وزارت دادگستری آمریکا، CIA، FBI و وزارت خارجه آمریکاو بخش روسی شرکت تلویزیون و رادیو ملی سوئیس در روسیه مسدود شد.
لینک خبر :
https://roskomsvoboda.org/post/block-cia-fbi-statdep/
1- https://reestr.rublacklist.net/ru/record/5368745/
2- https://reestr.rublacklist.net/ru/record/5368747/
3-
https://reestr.rublacklist.net/ru/record/5368354/
#ransomware #russia #FBI
کانال آموزش کامپیوتر
@Engineer_Computer
وبسایت باج افزار Hive الان لوگوی FBI روی اون هست و متوقف شده است.
همزمان با توقیف زیرساخت های باج افزار Hive توسط امریکا، وبسایت های پاداش برای عدالت وزارت دادگستری آمریکا، CIA، FBI و وزارت خارجه آمریکاو بخش روسی شرکت تلویزیون و رادیو ملی سوئیس در روسیه مسدود شد.
لینک خبر :
https://roskomsvoboda.org/post/block-cia-fbi-statdep/
1- https://reestr.rublacklist.net/ru/record/5368745/
2- https://reestr.rublacklist.net/ru/record/5368747/
3-
https://reestr.rublacklist.net/ru/record/5368354/
#ransomware #russia #FBI
کانال آموزش کامپیوتر
@Engineer_Computer
www.justice.gov
U.S. Department of Justice Disrupts Hive Ransomware Variant
The Justice Department announced today its months-long disruption campaign against the Hive ransomware group that has targeted more than 1,500 victims in over 80 countries around the world, including hospitals, school districts, financial firms, and critical…
🔥3
#Ransomware #Moneybird Targeted #Israel
تیم پاسخ به حادثه شرکت Check Point مقاله ای انتشار داده است مبنی بر حمله مجدد باج افزاری با نام Moneybird به ارگان ها و شرکت های اسرائیلی برای اخاذی مالی.
رفتار تکنیکی تاکتیکی حمله طبق معمول بر پایه یک ایجاد دسترسی بر پایه یک آسیب پذیری، و زدن تونل RDP مبتنی بر Web Shell که منجر به دانلود و اجرای باج افزار میشود.
اما دو نکته قابل توجه این حمله، یک استفاده مکرر از ابزار های تجاری رایگان است که مکانیزم های دفاعی به آنها واکنشی نشان نمی دهند، دیگری توسعه باج افزار با رویکردی جدید به زبان ++C که به عنوان یک Encryptor عمل خواهد کرد.
باج افزار پارامتر های CLI دریافت میکند که این موضوع موجب میشود مهاجم بصورت شخصی سازی شده توابع باج افزار را پیکربندی نماید، این پیکربندی میلی ثانیه خواب بودن قبل از start باج افزار است.
تعداد Threads های چک و Ciphering که با بررسی تعداد هسته های پردازنده تعیین خواهد شد، تعیین بررسی لیست Extension ها، برای رمز کردن و دیگر موارد که در تصویر مهندسی معکوس فایل مشخص شده است.
@Engineer_Computer
تیم پاسخ به حادثه شرکت Check Point مقاله ای انتشار داده است مبنی بر حمله مجدد باج افزاری با نام Moneybird به ارگان ها و شرکت های اسرائیلی برای اخاذی مالی.
رفتار تکنیکی تاکتیکی حمله طبق معمول بر پایه یک ایجاد دسترسی بر پایه یک آسیب پذیری، و زدن تونل RDP مبتنی بر Web Shell که منجر به دانلود و اجرای باج افزار میشود.
اما دو نکته قابل توجه این حمله، یک استفاده مکرر از ابزار های تجاری رایگان است که مکانیزم های دفاعی به آنها واکنشی نشان نمی دهند، دیگری توسعه باج افزار با رویکردی جدید به زبان ++C که به عنوان یک Encryptor عمل خواهد کرد.
باج افزار پارامتر های CLI دریافت میکند که این موضوع موجب میشود مهاجم بصورت شخصی سازی شده توابع باج افزار را پیکربندی نماید، این پیکربندی میلی ثانیه خواب بودن قبل از start باج افزار است.
تعداد Threads های چک و Ciphering که با بررسی تعداد هسته های پردازنده تعیین خواهد شد، تعیین بررسی لیست Extension ها، برای رمز کردن و دیگر موارد که در تصویر مهندسی معکوس فایل مشخص شده است.
@Engineer_Computer
#Ransomware #LockBit 3.0
باج افزار LockBit تا کنون مبلغی بیش از 100 میلیون دلار توانسته باج گیری رایانه ای کنه که عموما از ارگان های دولتی آمریکا، چین، هند، فرانسه، آلمان، اوکراین و اندونزی رو درگیر کرده و جالب است که با سرور هایی که زبان های روسی، رومانی، عربی سوری تنظیم داشتند، کاری نداشته است.
اما رفتار های شاخص تکنیکی تاکتیکی این باج افزار چی مواردی است؟ نسخه 3 این باج افزار برای ایجاد دسترسی از تکنیک های Bruteforce پروتکل RDP ، تکنیک Drive-By Compromise و Spear Phishing و دسترسی به حساب های کاربری صحیح و همچنین بهره برداری از یک آسیب پذیری سرویس های fortinet بوده است.
اما برای Exfiltration عموما از وبسرویس های اشتراک گذاری فایل استفاده شده که فایل های مورد نیاز باج افزار رو به سیستم قربانی انتقال خواهد داد.
استفاده از Autostart Execution ها برای ارتقاء سطح دسترسی که معمولا با schtasks انجام میشه، استفاده از Obfuscation کد برای نامحسوس سازی PE باج افزار، خاموش کردن سرویس های امنیتی سیستم عامل، گرفتن Dump از LSASS بر بستر حافظه و مواردی دیگر، اطلاعات تکمیلی در این مقاله است.
@Engineer_Computer
باج افزار LockBit تا کنون مبلغی بیش از 100 میلیون دلار توانسته باج گیری رایانه ای کنه که عموما از ارگان های دولتی آمریکا، چین، هند، فرانسه، آلمان، اوکراین و اندونزی رو درگیر کرده و جالب است که با سرور هایی که زبان های روسی، رومانی، عربی سوری تنظیم داشتند، کاری نداشته است.
اما رفتار های شاخص تکنیکی تاکتیکی این باج افزار چی مواردی است؟ نسخه 3 این باج افزار برای ایجاد دسترسی از تکنیک های Bruteforce پروتکل RDP ، تکنیک Drive-By Compromise و Spear Phishing و دسترسی به حساب های کاربری صحیح و همچنین بهره برداری از یک آسیب پذیری سرویس های fortinet بوده است.
اما برای Exfiltration عموما از وبسرویس های اشتراک گذاری فایل استفاده شده که فایل های مورد نیاز باج افزار رو به سیستم قربانی انتقال خواهد داد.
استفاده از Autostart Execution ها برای ارتقاء سطح دسترسی که معمولا با schtasks انجام میشه، استفاده از Obfuscation کد برای نامحسوس سازی PE باج افزار، خاموش کردن سرویس های امنیتی سیستم عامل، گرفتن Dump از LSASS بر بستر حافظه و مواردی دیگر، اطلاعات تکمیلی در این مقاله است.
@Engineer_Computer
#Wagner new #ransomware that uses the source code of Chaos ransomware and advertises membership in this group.
@Engineer_Computer
@Engineer_Computer
Microsoft uncovers the ruthless efficiency of ransomware attacks.
In just 5 days, hackers complete the entire attack process, breaching systems, encrypting vital data, and holding organizations hostage.
Details: https://thehackernews.com/2023/07/blackbyte-20-ransomware-infiltrate.html
🔒 Yet another critical SQL injection vulnerability (CVE-2023-36934) uncovered in popular MOVEit Transfer—the same software that was exploited in a series of recent cyberattacks to deploy Clop #ransomware.
Read details: https://thehackernews.com/2023/07/another-critical-unauthenticated-sqli.html
@Engineer_Computer
In just 5 days, hackers complete the entire attack process, breaching systems, encrypting vital data, and holding organizations hostage.
Details: https://thehackernews.com/2023/07/blackbyte-20-ransomware-infiltrate.html
🔒 Yet another critical SQL injection vulnerability (CVE-2023-36934) uncovered in popular MOVEit Transfer—the same software that was exploited in a series of recent cyberattacks to deploy Clop #ransomware.
Read details: https://thehackernews.com/2023/07/another-critical-unauthenticated-sqli.html
@Engineer_Computer
#Ransomware #Detection Using #Machine_Learning
در مقاله ای از MDPI به موضوع نحوه تشخیص باج افزار مبتنی بر روش های تشخیص رفتار تهدید آمیز، مبتنی هوش مصنوعی پرداخته است.
در روش های قدیمی مرسوم، عموما مکانیزم های EPP اقدام به تشخیص مبتنی بر امضا، تشخیص مبتنی بر ترسیم رفتار مخرب یا Behavioral-Patterns و روش های Heuristic-Based Scanning پرداخته شده است.
حالا موضوعی به آن مبتنی بر هوش مصنوعی توجه شده است، بحث یاد گیری ماشین و ایجاد Dataset های بزرگ برای الگوریتم های یادگیری ماشین است.
با توجه به اینکه منابع Dataset در اینجا نقش خوراک الگوریتم را میبایست بازی کند، وجود Dataset های با کیفیت و جامع بسیار در امر یادگیری ماشین، کمک خواهد کرد.
این Dataset ها میبایست مدل های تشخیص آموزش دیده ای را به ماشین بدهند تا ماشین با تحلیل رفتار پردازش ها بتواند بهترین و دقیقا Pattern ای تشخیصی رو پایش کند.
که در این صورت ماشین میتواند هر بار بسیار سریع تر متوجه یک رفتار غیر طبیعی از یک برنامه توجیه یا Legitimate را تشخیص داده و واکنش مطلوب را سریعا نشان دهد.
https://www.mdpi.com/2504-2289/7/3/143
@Engineer_Computer
در مقاله ای از MDPI به موضوع نحوه تشخیص باج افزار مبتنی بر روش های تشخیص رفتار تهدید آمیز، مبتنی هوش مصنوعی پرداخته است.
در روش های قدیمی مرسوم، عموما مکانیزم های EPP اقدام به تشخیص مبتنی بر امضا، تشخیص مبتنی بر ترسیم رفتار مخرب یا Behavioral-Patterns و روش های Heuristic-Based Scanning پرداخته شده است.
حالا موضوعی به آن مبتنی بر هوش مصنوعی توجه شده است، بحث یاد گیری ماشین و ایجاد Dataset های بزرگ برای الگوریتم های یادگیری ماشین است.
با توجه به اینکه منابع Dataset در اینجا نقش خوراک الگوریتم را میبایست بازی کند، وجود Dataset های با کیفیت و جامع بسیار در امر یادگیری ماشین، کمک خواهد کرد.
این Dataset ها میبایست مدل های تشخیص آموزش دیده ای را به ماشین بدهند تا ماشین با تحلیل رفتار پردازش ها بتواند بهترین و دقیقا Pattern ای تشخیصی رو پایش کند.
که در این صورت ماشین میتواند هر بار بسیار سریع تر متوجه یک رفتار غیر طبیعی از یک برنامه توجیه یا Legitimate را تشخیص داده و واکنش مطلوب را سریعا نشان دهد.
https://www.mdpi.com/2504-2289/7/3/143
@Engineer_Computer
👍1