XiaoMi-AI文件搜索系统
World File Search SystemThreat
kpmg网络威胁情报平台
lumma窃取器是通过网络钓鱼电子邮件，恶意广告，剥削套件，折磨YouTube视频促进破解软件的折磨，以及最近通过伪造的Captcha页面。这些CAPTCHA页面欺骗用户单击它们，运行下载恶意软件的基本64编码的PowerShell脚本。PowerShell脚本使用了一个受信任的Windows实用程序MSHTA.EXE，下载并执行包含Lumma有效载荷的JavaScript。有效载荷是通过混淆的脚本，下载的存档文件执行的，并将恶意代码注入合法应用程序。为了逃避防病毒检测，诸如“ killing.bat”之类的脚本用于通过扫描防病毒过程来识别和禁用安全软件。在数据盗窃过程中，浏览器存储的凭据，cookie，加密货币钱包信息，2FA令牌以及带有“种子”，“ Pass”或“ Wallet”之类的关键字的文件。被盗数据通过用于C2通信的加密HTTPS连接传输到攻击者控制的服务器，通常托管在“ .shop”域或CDN上。隐形策略包括扫描VMS和调试工具，将恶意活动隐藏在背景过程中，并使用受信任的系统工具避免检测。
网络威胁情报咨询
Lynx勒索软件通过网络钓鱼攻击获得访问权限，以窃取凭据并获得未经授权的条目。它列举并终止与安全性，备份，数据库和系统实用程序相关的过程，以防止干扰加密。它可以通过修改其安全性描述符，确保它可以修改或加密它们，并尝试使用DeviceIocontrol删除阴影副本，从而启用“ SetakeWownersHipprivilege”控制限制文件，以防止通过系统还原点恢复。使用Windows I/O完成端口设置多线程加密过程，创建基于CPU内核的多个线程，以最大化加密速度。它使用Counter（CTR）模式中的AES-128加密文件，生成由纯文本进行Xed的键流。每个块的非CE增量以确保唯一的加密，并在完成后重命名。它列举并加密网络共享和共享文件夹中的文件，递归处理嵌套资源以确保广泛的数据加密。它将所有可用的卷都安装在可访问的驱动器字母中，以确保也加密隐藏和未分配的驱动器。，如果未支付赎金，它会在加密之前删除敏感数据，并威胁通过专用泄漏地点的公众接触。
EBPF安全威胁模型
检查时间（TOCTOU）问题可能会在安全工具中出现。目标是分析系统将准确执行的操作。但是，如果安全工具从用户空间内存中读取值，然后在内核作用之前更改了这些值，则内核“使用”的内容可能与您在用户空间中“检查”的内容有所不同。可以通过确保安全工具将值转移到内核内存后观察值来预防竞赛。这样做的两种主要方法是LSM（Linux Security Module）EBPF程序，并直接通过Kprobe/kretprobe/fentry/fentry/ferxit
叙利亚 - 威胁策略报告 - 公共情报
叙利亚及其持续的内战代表了一种作战环境 (OE)，其中包括许多说明现代战争复杂性的特征。叙利亚内战现已进入第四个年头，吸引了来自中东及其他地区的各种威胁行为者。最初是为了改善机会和人权而进行的抗议，现已演变为全面内战。当叙利亚军队和安全部队为平息全国的民间骚乱而战时，这些抗议团体在具有长期恐怖活动历史的国内外势力的帮助下，以越来越多的暴力手段作出回应。由于不适合在全国范围内展开的战斗规模，叙利亚军队向真主党和伊朗等盟友寻求帮助。这些部队的加入在许多方面将总统巴沙尔·阿萨德的军队从一支常规防御部队转变为一支反叛乱部队。
自动威胁检测，反应和道德挑战
1。Introduction................................................................................................. 1
Falcon OverWatch 托管威胁搜寻
“一周前，守望先锋联系了我，告诉我他们检测到了一些与已知服务器劫持组织有关的活动。他们的电话让我们得以介入并专门解决这一问题。守望先锋很快回复说，‘这是我们所知道的有关此事的信息。’他们的行动阻止了我们的一台服务器在黑市上被垃圾邮件发送者或其他不法分子利用。”
kpmg网络威胁情报平台
通过phpmyadmin和wordpress等Web应用程序中的漏洞来实现初始访问，并在折衷的服务器上部署ASPXSPY Web Shell以供初始控制。Web壳收集系统详细信息和地图网络，使用Mimikatz，PrintNotifyPotato，Badpotato和Godpotato等工具进行凭证收获。网络中的横向移动通过RDP利用了凭借凭证，针对其他Windows IIS服务器，部署Web壳以及安装诸如Plugx和Badiis之类的恶意软件。管理员权限被克隆到访客帐户中，以提高管理级别的高度，从而创建了诸如“ admin $”之类的隐藏式管理帐户以进行持久性，后来被删除。折衷的服务器被重新接触以验证操作状态并维护访问，重新下载Web shell和管理管理帐户。文件隐藏技术通过将Badiis放置在Kaspersky SDK等目录中，使用PDB字符串伪装并修改文件属性以逃避检测来隐藏恶意软件。插件和其他工具用于C2通信，RDP被禁用并启用，以维护访问并涵盖篡改的迹象。搜索引擎算法被操纵以提高网站排名，使用Badiis改变HTTP响应，执行SEO欺诈和代理恶意通信。