#EyeSpy #Spyware #Trojan #Iranian
با برقراری سیاست های غلط و غیر حرفه ای که در خصوص فیلترینگ اینترنت در ایران انجام شد، موجبات سوء استفاده تیم های سایبری را به بهانه دور زدن فیلترینگ فراهم کرده است.
به گزارش BitDefender جاسوس افزاری به بهانه فروش VPN به مخاطبان دیده شده که به عنوان یک Trojan بواسطه نصب کننده ای قانونی با نام SecondEye اقدام به جاسوس از مردم ایران کرده است.
این ابزار یک ابزار نظارتی در سطح شبکه بوده که در ایران توسعه داده شده است! و بعد از نصب، جاسوس افزار اقدام به شنود مرورگر های قربانی بواسطه Keylogger، عمل میکند.
ویژگی دیگر اینکه جاسوس افزار پیلود ریزی خود را در آدرس WindowsApps انجام میدهد که در خصوص ماندگاری جاسوس افزار هوشمندانه تر عمل کرده باشد، چرا که این پوشه مختص برنامه های فروشگاه ویندوز میباشد.
جالبه که این جاسوس افزار بواسطه زبان Delphi کامپایل شده بواسطه Smart Install Maker به عنوان یک نصب کننده گرافیکی ساخته شده است.
موارد دیگر را میتوانید از این لینک مطالعه نماید، شایسته است پلیس فتای کشور نسبت به این جاسوسی از مردم، گزارش شفافی ارائه دهد.
@Unk9vvN
با برقراری سیاست های غلط و غیر حرفه ای که در خصوص فیلترینگ اینترنت در ایران انجام شد، موجبات سوء استفاده تیم های سایبری را به بهانه دور زدن فیلترینگ فراهم کرده است.
به گزارش BitDefender جاسوس افزاری به بهانه فروش VPN به مخاطبان دیده شده که به عنوان یک Trojan بواسطه نصب کننده ای قانونی با نام SecondEye اقدام به جاسوس از مردم ایران کرده است.
این ابزار یک ابزار نظارتی در سطح شبکه بوده که در ایران توسعه داده شده است! و بعد از نصب، جاسوس افزار اقدام به شنود مرورگر های قربانی بواسطه Keylogger، عمل میکند.
ویژگی دیگر اینکه جاسوس افزار پیلود ریزی خود را در آدرس WindowsApps انجام میدهد که در خصوص ماندگاری جاسوس افزار هوشمندانه تر عمل کرده باشد، چرا که این پوشه مختص برنامه های فروشگاه ویندوز میباشد.
جالبه که این جاسوس افزار بواسطه زبان Delphi کامپایل شده بواسطه Smart Install Maker به عنوان یک نصب کننده گرافیکی ساخته شده است.
موارد دیگر را میتوانید از این لینک مطالعه نماید، شایسته است پلیس فتای کشور نسبت به این جاسوسی از مردم، گزارش شفافی ارائه دهد.
@Unk9vvN
#APT34 #Tesla #Agent #Phishing #Trojan
اخیرا تحرکاتی از تیم #APT34 منتصب به ایران، رخ داده است که مبتنی بر آسیب پذیری قدیمی CVE-2017-11882 و CVE-2018-0802 اقدام به پخش ایمیل فیشینگ هایی با محتوای فایل xls و یک دانلودر بدافزار بوده است.
اما در مرحله اجرا یک OLE اجرا میشود که دارای equation data است که در
شلکد اجرایی در اصل یک دانلودر و اجراگر بدافزار است که بواسطه تابع
اما فایل دانلودی یک بدافزار طراحی شده با dotNet است که کاملا مبهم سازی شده بواسطه IntelliLock و Net Reactor. بوده و مهاجم تمامی اسامی ها را مبهم ساخته است.
اما درون این بدافزار مقادیر Encode شده ای قرار دارد که دارای پیلود برای Agent Tesla بوده که بصورت Encode و Compress در Resource Section قرار کرده شده است.
پیلود Agent Tesla با تکنیک Process Hollowing که یک تکنیک برای محافظت از پردازش بدافزار است.
@Unk9vvN
اخیرا تحرکاتی از تیم #APT34 منتصب به ایران، رخ داده است که مبتنی بر آسیب پذیری قدیمی CVE-2017-11882 و CVE-2018-0802 اقدام به پخش ایمیل فیشینگ هایی با محتوای فایل xls و یک دانلودر بدافزار بوده است.
اما در مرحله اجرا یک OLE اجرا میشود که دارای equation data است که در
EQNEDT32.EXE به اجرا در آمده و از آسیب پذیری استفاده کرده و شلدکی را به اجرا در میاورد.شلکد اجرایی در اصل یک دانلودر و اجراگر بدافزار است که بواسطه تابع
URLDownloadToFileW که یک تابع API است تماس گرفته شده و بدافزاری با نام chromium.exe دانلود شده و در %TEMP% با نام desHost.exe ذخیره میشود.اما فایل دانلودی یک بدافزار طراحی شده با dotNet است که کاملا مبهم سازی شده بواسطه IntelliLock و Net Reactor. بوده و مهاجم تمامی اسامی ها را مبهم ساخته است.
اما درون این بدافزار مقادیر Encode شده ای قرار دارد که دارای پیلود برای Agent Tesla بوده که بصورت Encode و Compress در Resource Section قرار کرده شده است.
پیلود Agent Tesla با تکنیک Process Hollowing که یک تکنیک برای محافظت از پردازش بدافزار است.
@Unk9vvN
#IOCONTROL #ICS #Trojan
در ماه فوریه امسال یک Trojan توسط Qianxin XLab شناسایی شد با نام IOCONTROL که بر پایه سیستم های لینوکسی بوده و در خصوص حمله به زیرساخت های صنعتی، دستگاه های HMI و PLC و IIoT فعالیت می کرده است.
که بواسطه پروتکل MQTT که در خصوص تجهیزات اینترنت اشیاء صنعتی است، با مرکز کنترل و فرمان مهاجمین ارتباط می گرفته است.
این بدافزار از DNS-over-HTTPS برای ارسال ترافیک اطلاعات پیکربندی ها استفاده می کرده است که مبتنی بر سرویس ابری Cloudflare عمل میکرده که همین موضوع باعث پنهان ماندن C2 بوده است.
همچنین از MQTT over TLS برای محافظت از ارسال و دریافت فرمان های C2 استفاده می کرده است که داده ها با رمزنگاری AES و Mode رمزنگاری CBC فعالیت داشته است.
خود بدافزار نیز یک فایل فرمت ELF 32 بیت بوده و با UPX یکدور پک شده و امضای UPX تغییر داده شده به ABC!.
اما تکنیک ماندگاری Trojan نیز یک اسکریپت Bash بوده است که اقدام به اجرای iocontrol بصورت پنهان کرده و 5 ثانیه به خواب میرود.
@Unk9vvN
در ماه فوریه امسال یک Trojan توسط Qianxin XLab شناسایی شد با نام IOCONTROL که بر پایه سیستم های لینوکسی بوده و در خصوص حمله به زیرساخت های صنعتی، دستگاه های HMI و PLC و IIoT فعالیت می کرده است.
که بواسطه پروتکل MQTT که در خصوص تجهیزات اینترنت اشیاء صنعتی است، با مرکز کنترل و فرمان مهاجمین ارتباط می گرفته است.
این بدافزار از DNS-over-HTTPS برای ارسال ترافیک اطلاعات پیکربندی ها استفاده می کرده است که مبتنی بر سرویس ابری Cloudflare عمل میکرده که همین موضوع باعث پنهان ماندن C2 بوده است.
همچنین از MQTT over TLS برای محافظت از ارسال و دریافت فرمان های C2 استفاده می کرده است که داده ها با رمزنگاری AES و Mode رمزنگاری CBC فعالیت داشته است.
خود بدافزار نیز یک فایل فرمت ELF 32 بیت بوده و با UPX یکدور پک شده و امضای UPX تغییر داده شده به ABC!.
اما تکنیک ماندگاری Trojan نیز یک اسکریپت Bash بوده است که اقدام به اجرای iocontrol بصورت پنهان کرده و 5 ثانیه به خواب میرود.
@Unk9vvN
#MITM #HTTPS #Sniff With #Trojan
همونطور که میدونید از نسخه TLS 1.1 به بعد دیگه حمله SSLStrip در بحث شنود ترافیک بواسطه پیاده سازی حملات مرد میانی یا MITM، جواب نمیدهد.
ماجرا از این قرار است که بواسطه این برگه تقلب، مهاجم میتواند یک بد افزار ساخته که کارش نصب یک Cert جعلی که برای ابزار شنود است، انجام دهد.
بعد از ایجاد یک بد افزار که مبتنی بر یک مهندسی اجتماعی JPG با پیاده سازی تکنیک های Spoof Extension پیاده سازی شده و بواسطه کمپرس کردن یک تصویر JPG با بدافزار در فایل فرمت SFX، اقدام به باز کردن یک عکس (بدافزار) توسط قربانی خواهد شد.
اما چطور این فایل دانلود و اجرا میشود روی سیستم قربانی؟ بعد از ایجاد عملیات MITM، ما سعی میکنیم بر روی ترافیک HTTP و HTTPS یک Downgrade انجام داده و یک کد JS به ترافیک بازگشتی یا Response تزریق داده و اقدام به ساخت یک DOM و link و کلیک بر روی آن کنیم.
در صورتی که قربانی یک لحظه اشتباه کند فایل بدافزار که بصورت یک عکس مهندسی شده، بر روی سیستم قربانی دانلود و اجرا میشود و بعد از اجرا Cert جعلی بر روی سیستم عامل آن نصب شده و ترافیک HTTPS قربانی قابل شنود خواهد بود.
@Unk9vvN
همونطور که میدونید از نسخه TLS 1.1 به بعد دیگه حمله SSLStrip در بحث شنود ترافیک بواسطه پیاده سازی حملات مرد میانی یا MITM، جواب نمیدهد.
ماجرا از این قرار است که بواسطه این برگه تقلب، مهاجم میتواند یک بد افزار ساخته که کارش نصب یک Cert جعلی که برای ابزار شنود است، انجام دهد.
بعد از ایجاد یک بد افزار که مبتنی بر یک مهندسی اجتماعی JPG با پیاده سازی تکنیک های Spoof Extension پیاده سازی شده و بواسطه کمپرس کردن یک تصویر JPG با بدافزار در فایل فرمت SFX، اقدام به باز کردن یک عکس (بدافزار) توسط قربانی خواهد شد.
اما چطور این فایل دانلود و اجرا میشود روی سیستم قربانی؟ بعد از ایجاد عملیات MITM، ما سعی میکنیم بر روی ترافیک HTTP و HTTPS یک Downgrade انجام داده و یک کد JS به ترافیک بازگشتی یا Response تزریق داده و اقدام به ساخت یک DOM و link و کلیک بر روی آن کنیم.
در صورتی که قربانی یک لحظه اشتباه کند فایل بدافزار که بصورت یک عکس مهندسی شده، بر روی سیستم قربانی دانلود و اجرا میشود و بعد از اجرا Cert جعلی بر روی سیستم عامل آن نصب شده و ترافیک HTTPS قربانی قابل شنود خواهد بود.
@Unk9vvN