BlackShadow
BlackShadow 18 dek 2021 tarixindən bəri sızıntı saytında 3 qurumu elan edib.
Aylıq elan
- Ümumi elan
- 3
- İlk elan
- 18 dek 2021
- Son elan
- 18 dek 2021
- MITRE ATT&CK texnikası
- 26
BlackShadow, İranla bağlı bir sındır-və-sızdır qrupudur (Agrius APT-sinə bağlı); sığorta firması Shirbit və hostinq provayderi Cyberserve daxil olmaqla İsrail şirkətlərini hədəf aldı, 290.000 xəstənin tibbi qeydlərini sızdırdı; şantajı tamamilə maliyyə qazancı əvəzinə geosiyasi pozuntu aləti kimi istifadə edir.
Son 12 ayda elan verməyib.
Qrupun mənşəyi İran kimi bildirilir.
Qrup 1 zərərli proqram ailəsi ilə əlaqələndirilib.
Digər adları: AMERICIUM, DEV-0022, Agrius, Agonizing Serpens, UNC2428, SPECTRAL KITTEN
Ən çox hədəf alınan sektor Maliyyə Xidmətləri: 2 elan, ümuminin %67-i.
Hədəf aldığı ölkələr
Hədəf aldığı sektorlar
3 nəticədən 3 göstərilir
Qrupun hücumlarında 12 mərhələyə yayılan 26 MITRE ATT&CK texnikası sənədləşdirilib.
- 1
Resurs hazırlığı
Hücumda istifadə ediləcək infrastruktur, hesablar və alətlər hazırlanır.
T1583Acquire Infrastructure - 2
İlkin giriş
Qurum şəbəkəsinə ilk giriş edilir.
T1078.002Valid Accounts: Domain AccountsT1190Exploit Public-Facing Application - 3
İcra
Zərərli kod hədəf sistemdə işə salınır.
T1059.003Command and Scripting Interpreter: Windows Command Shell - 4
Davamlılıq
Yenidən başlatma və parol dəyişikliyindən sonra da giriş qorunur.
T1078.002Valid Accounts: Domain AccountsT1505.003Server Software Component: Web ShellT1543.003Create or Modify System Process: Windows Service - 5
Səlahiyyət artırma
Daha yüksək səlahiyyətli hesablara keçilir.
T1078.002Valid Accounts: Domain AccountsT1543.003Create or Modify System Process: Windows Service - 6
Giriş məlumatlarına çıxış
Parol, token və sessiya məlumatları ələ keçirilir.
T1003.001OS Credential Dumping: LSASS MemoryT1003.002OS Credential Dumping: Security Account ManagerT1110Brute ForceT1110.003Brute Force: Password Spraying - 7
Daxili kəşfiyyat
Şəbəkədəki sistemlər, hesablar və məlumatlar xəritələnir.
T1018Remote System DiscoveryT1046Network Service Discovery - 8
Yanal hərəkət
Şəbəkə daxilində digər sistemlərə keçilir.
T1021.001Remote Services: Remote Desktop ProtocolT1570Lateral Tool Transfer - 9
Məlumat toplama
Sızdırılacaq məlumatlar seçilir və bir yerə toplanır.
T1005Data from Local SystemT1074.001Data Staged: Local Data StagingT1119Automated CollectionT1560.001Archive Collected Data: Archive via Utility - 10
Məlumat sızdırma
Məlumatlar qurumdan kənara çıxarılır; elandakı yayımlama təhdidi bu məlumata əsaslanır.
T1041Exfiltration Over C2 Channel - 11
Digər texnikalar
T1036MasqueradingT1078.002Valid Accounts: Domain AccountsT1140Deobfuscate/Decode Files or InformationT1685Disable or Modify Tools
Qrup 1 zərərli proqram ailəsi ilə əlaqələndirilib.
Zərərli proqram ailəsi
- Apostle
Bu aktor haqqında dərc edilmiş hesabatlar:
- https://www.oodaloop.com/archive/2024/01/02/critical-infrastructure-remains-the-brass-ring-for-cyber-attackers-in-2024/
- https://unit42.paloaltonetworks.com/agonizing-serpens-targets-israeli-tech-higher-ed-sectors/
- https://socprime.com/blog/agonizing-serpens-attack-detection-iran-backed-hackers-target-israeli-tech-firms-and-educational-institutions/
Mənbə: MISP Galaxy, Malpedia.
Fidyə qrupu nə edir?
Fidyə proqramı qrupları qurum şəbəkəsinə sızır, məlumatı kənara çıxarır və sistemləri şifrələyir. Ödəniş edilməzsə, qurumu sızıntı saytında elan edir və məlumatı yayımlamaqla hədələyir.
BlackShadow qurumlara necə daxil olur?
Qurum şəbəkəsinə ilk giriş edilir.
- T1078.002 · Valid Accounts: Domain Accounts
- T1190 · Exploit Public-Facing Application
Hansı tədbirlər önə çıxır?
Sənədləşdirilən texnikalara görə prioritet tədbirlər:
- İnternetə açıq VPN, uzaq masaüstü və firewall interfeyslərini yeniləyin; bu hesablarda çoxaddımlı doğrulamanı məcburi edin.
- Skript və makroların işlədilməsini yalnız ehtiyacı olan istifadəçilərə açın; uc nöqtə qorumasında davranış qaydalarını aktiv saxlayın.
- Yeni yaradılan xidmətləri, planlaşdırılmış tapşırıqları və başlanğıc qeydlərini izləyin.
- Yerli administrator hesablarını azaldın; imtiyazlı əməliyyatları ayrı və izlənən hesablarla aparın.
- Əməkdaş parollarının və sessiya kukilərinin infostealer qeydlərində görünüb-görünmədiyini mütəmadi yoxlayın.
- Qısa müddətdə çox sorğu edən hesabları və qeyri-adi şəbəkə skanlarını izləyin.
- Şəbəkəni seqmentlərə bölün; idarəetmə protokollarını yalnız idarəetmə şəbəkəsindən əlçatan saxlayın.
- Böyük həcmli fayl arxivləmə əməliyyatlarını izləyin.
- Bulud yaddaşı və fayl ötürmə xidmətlərinə gedən qeyri-adi məlumat həcmini izləyin.
Qurumunuz sızıntı saytında elan edilərsə nə etməlisiniz?
- Elanı və yayımlanan nümunə faylları qeydə alın; elan saytına qurum şəbəkəsindən daxil olmayın.
- Təsirlənən sistemləri şəbəkədən ayırın və qeydləri silmədən qoruyun.
- Hansı məlumatın qurumdan kənara çıxdığını müəyyən edin; şəxsi məlumat varsa, bildiriş öhdəliyini hüquq komandanızla qiymətləndirin.
- Fidyə tələbi ilə bağlı qərarı hüquq, rəhbərlik və insidentə cavab komandası ilə birlikdə verin.
- Hücumçunun daxil olduğu yolu bağlamadan sistemləri yenidən işə salmayın.
Qurumunuzun adı keçir?
Domen adınızla axtarış edərək fidyə elanlarında, sızan qeydlərdə, forumlarda və Telegram kanallarında görünüb-görünmədiyinizi yoxlayın.
Domen adınızla axtarınIntelligence 360
Infostealer Detection-ın üstünə müştəri kəşfiyyatı: saytınıza daxil olan son istifadəçilərin sızan hesabları da görünür.