Amenaza Sload Powershell

De acuerdo a lo publicado por el CERT-Yoroi italiano, está rastreando una amenaza con el nombre clave de Sload-ITA, debido a que han existido una serie de ataques emergentes dirigidos en Italia. Son correos electrónicos que comparten las mismas técnicas con un solo grupo de amenazas. Este tipo de campañas ya se han efectuado en el Reino Unido, con operaciones similares a las detectadas por los italianos.

Las campañas maliciosas comparten el mismo esquema, ocultación de código malicioso dentro de archivos comprimidos y además patrones similares en la extracción de las URLs.

El archivo comprimido ZIP contiene dos archivos distintos:

1.    Un enlace que apunta a la carpeta de sistema de archivos, en el caso de Italia “invio fattura elettronica.lnk”.

2. Una imagen JPG oculta “imagen_20181119_100714_40.jpg”, este archivo se almacena con atributos de persistencia ante eliminación o indisponibilidad del archivo.

A pesar de su simpleza, el LKN extraído ha sido armado de forma similar a la adoptada por el APT29, el cual al hacer doble click en el archivo, se genera un script de PowerShell, que busca cualquier archivo que coincida con el patrón establecido en la amenaza, que contiene un código ejecutable por el script PowerShell, puede descargar otros script desde la URL firetechnicaladvisor.com” (Entre otras, ver listado), los que almacena en la carpeta “%APPDATA%/ ”.

Aún no está claro el grupo responsable de este tipo de actividad maliciosa, pero sin embargo representan una amenaza importante debido a la utilización de correos electrónicos con phishing bien diseñados, que disminuye la tasa de detección de este tipo de malware.
-->

RECOMENDACIONES

Se sugiere el bloqueo de los siguientes indicadores de compromiso.

     URLs

·         https://balkher.eu/doc/p2.txt
·         https://balkher.eu/sload/2.0/hostp1.txt
·         https://balkher.eu/sload//img.php?ch=1
·         https://cavintageclothing.com/update/b746yrthdfb.txt
·         https://hamofgri.me/images/captcha.php?ch=1
·         https://hamofgri.me/images/gate.php
·         https://icodeucode.com/col/euco
·         https://ljfumm.me/images/captcha.php?ch=1
·         https://ljfumm.me/images/gate.php
·         https://peatsenglishcider.com/seng/ishci
·         https://perecwarrio.eu/sload/
·         https://rootcellarproductions.com/documento/AE-9455933DGW-nota-cliente
·         https://sciencefictionforgirls.com/cience/ionfo
·         https://three-bottles.com/area-riservata/MA-47462780Y3-documento-cliente
·         https://upabovenewyork.com/.fatturazione/fattura-per-cliente-QN-OAYSAPV

     Dominios

·         ljfumm.me
·         peatsenglishcider.com
·         perecwarrior.eu
·         rootcellarproductions.com
·         sciencefictionforgirls.com
·         three-bottles.com
·         upabovenewyork.com
·         balkher.eu
·         bureaucratica.org
·         cavintageclothing.com
·         firetechnicaladvisor.com
·         hamofgri.me

     Direcciones IP

·         18.13.7.20
·         185.17.27.108
·         185.17.27.100
·         185.17.27.100
·         185.17.27.108
·         185.197.75.10
·         185.197.75.241
·         185.211.246.50
·         91.218.127.180
·         91.218.127.183
·         91.218.127.183

     Hashes

·         b702e8e23165273f8e90615ce4af2f158048bf6b615f545b992fbbb62f7eff27 zip
·         1cbe16ac066aeac78c2f3e41e2afa3433833bf6f65131bcfbf88db97e9b94efb jpg
·         d8f4ae0477f7e2931e89e4b6d3e78556d3b5765a2c08bc3bdec8c1f6dc0904c0 lnk
·         ed1007884730a664f9cc827fb60924079149a2fec08ca91c2342c368e727c330 zip
·         3b5b6cd6ecef252624ee3b5c80d27647766527920b76ebc533f9bc336bfe91ad jpg
·         0a392ded18578069c647383492253f990210b9c9f9293a6ded09eab7e0936562 jpg
·         b19794f283f9c09f997cbfcbec8c30a5e48eb520ee7bcabd0d62c7b527105f42 lnk
·         3866a58fe3d459173a28bfdee3ec7a90d7551761121fba9eda3685a268cdeda5  ps1
·         ed99528a9e818fb486e468d9744745fcfd7157cc8e18181dce7404483c12e834 zip
·         97f9bb29083458c88844a2cecca272a22cac8cf7960b76c3fa46e891eeb18236 lnk
·         444e29050bbe68484e33f4e30dbe165186f93884e3336643cfb965156141c5ae jpg
·         6a49ed883ed266682ec275a395e0d7c6489ded6a6d7072e84af696e82f3b49a3 ps1
·         f94ebce29158af5f4df34e5af428a514faeef20de08418ad0153ad2a9a07cea0 ps1
·         daadae8672c31474047f21008ec131cf6a102dac7ca8b8c6df89d35bdf2246da vbs
·         ee1dbf76665f5c07ba1c453d1890aa93307f759c5cce6f59f225111509482a64 ps1
·         062cc76eeb34d1d3bb5467836cd2d33cb973fc0a8129947af074675beb1fbf1f ini
·         df1cb74942fe9d0897431752c2d9717190aa38f79834e22aa885ec8881134505

REFERENCIAS

Para mayor información puede revisar los siguientes links de referencia.


--> https://isc.sans.edu/forums/diary/Malicious+Powershell+Targeting+UK+Bank+Customers/23675/

--> --> -->
Nombre

Adobe,1,Adware,3,android,23,Antivirus,2,Apple,13,Apps,10,Arkavia Networks,12,Ataques,4,Backdoor,3,Bancos,6,Bases de Datos,1,Botnet,1,Botnet. Malware,1,Check Point,2,Cibercrimen,98,ciberseguridad,68,Cisco,1,Cloud,1,CMS,1,CPU,3,Criptomonedas,3,cyber day,2,Cyberwarfare,5,Dark Web,2,Data Leak,5,Deep Web,5,Ecommerce,1,Empresas,102,Eventos,4,Exploits,4,F5 Networks,1,Facebook,5,Firmware,1,google,24,Hacking,72,Hardware,7,Hosting,1,Industria,8,Instagram,2,Intel,2,Internacional,39,Internet,30,Investigacion,7,ios,3,IoT,3,ISO,1,Linux,4,Malware,21,Malwares,32,Microsoft,20,Nacional,10,Negocios,2,Oracle,1,OS,8,Payload,1,phishing,9,Protocolos,11,Ransomware,5,Recomendaciones,14,Redes,26,redes sociales,11,Rootkit,1,Salud,2,Servicios,5,Smartphones,26,Software,20,Spyware,10,updates,21,Vulnerabilidades,56,Web,5,WhatsApp,2,wifi,2,Windows,8,
ltr
item
Arkavia Networks News: Amenaza Sload Powershell
Amenaza Sload Powershell
https://1.bp.blogspot.com/-x58whcjv7-A/W__ejyfxb6I/AAAAAAAAA50/n5n9Q5qXIjkIrVlY9a3VEjlymc9XWQ0JQCLcBGAs/s640/Captura%2Bde%2Bpantalla%2B2018-11-29%2Ba%2Bla%2528s%2529%2B09.41.34.png
https://1.bp.blogspot.com/-x58whcjv7-A/W__ejyfxb6I/AAAAAAAAA50/n5n9Q5qXIjkIrVlY9a3VEjlymc9XWQ0JQCLcBGAs/s72-c/Captura%2Bde%2Bpantalla%2B2018-11-29%2Ba%2Bla%2528s%2529%2B09.41.34.png
Arkavia Networks News
https://www.arkalabs.cl/2018/11/amenaza-sload-powershell.html
https://www.arkalabs.cl/
https://www.arkalabs.cl/
https://www.arkalabs.cl/2018/11/amenaza-sload-powershell.html
true
7213111567211435179
UTF-8
Se han cargado todas las publicaciones No se ha encontrado ninguna publicación. Ver Todos Leer Noticia Responder Cancelar Respuesta Eliminar Por Inicio PÁGINAS ENTRADAS View All RECOMENDADO PARA TI ETIQUETA ARCHIVOS BUSQUEDA TODAS LAS ENTRADAS No se ha encontrado ninguna coincidencia de publicación con su solicitud. Volver al Inicio Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share. STEP 2: Click the link you shared to unlock Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy