Uhkametsällä suomennetaan taas termejä oikein urakalla, käydään kuulumisia tuttuun tapaan läpi pari tuntia sekä puhutaan vähän kyberistä. Aiheina tällä kertaa viranomaisyhteistyö, kriittiseen infrastruktuuriin kohdistuvat hyökkäykset ja uravinkkejä! Tervetuloa kuulolle. Lähdeluettelo: https://www.europol.europa.eu/media-press/newsroom/news/international-collaboration-leads-to-dismantlement-of-ransomware-group-in-ukraine-amidst-ongoing-war https://cyberpolice.gov.ua/news/ponad--milyardy-gryven-zbytkiv-kiberpolicziya-ta-slidchi-naczpolu-vykryly-xakeriv-yaki-atakuvaly-providni-svitovi-kompaniyi-1780/ https://twitter.com/BushidoToken/status/1729467756699857088 https://www.microsoft.com/en-us/security/blog/2022/05/09/ransomware-as-a-service-understanding-the-cybercrime-gig-economy-and-how-to-protect-yourself/#DEV-0237 https://media.kasperskycontenthub.com/wp-content/uploads/sites/100/2020/05/12075747/KSN-article_Ransomware-in-2018-2020-1.pdf https://news.microsoft.com/source/features/digital-transformation/hackers-hit-norsk-hydro-ransomware-company-responded-transparency/ https://success.trendmicro.com/dcx/s/solution/1122802-megacortex-ransomware-information?language=en_US&sfdcIFrameOrigin=null https://www.politico.eu/article/energy-power-europe-grid-is-under-a-cyberattack-deluge-industry-warns/ https://www.mandiant.com/resources/blog/sandworm-disrupts-power-ukraine-operational-technology https://www.bleepingcomputer.com/news/security/slovenias-largest-power-provider-hse-hit-by-ransomware-attack/ https://securityaffairs.com/154785/cyber-crime/rhysida-ransomware-china-energy.html

Tämän päivän jaksossa jutellaan taannoisesta hyökkäyksestä Tanskan Energiasektoria vastaan. Lisäksi muutama huono uutinen ja toivottavasti viimeistä kertaa vähään aikaan Octo Spiderin kuulumisia. Lähteet: https://sektorcert.dk/wp-content/uploads/2023/11/SektorCERT-The-attack-against-Danish-critical-infrastructure-TLP-CLEAR.pdf https://www.fortinet.com/content/dam/fortinet/assets/threat-reports/rhysida-ransomware-intrusion.pdf https://www.securityweek.com/ransomware-group-files-sec-complaint-over-victims-failure-to-disclose-data-breach/

Tässä jaksossa Uhkametsällä tarkastellaan uudehkoa uhkatoimijaa Octo Tempest / Scattered Spider / UNC3944. Juontajat käyvät läpi uhkatoimijan kehittymistä sekä heidän käyttämiään taktiikoita, tekniikoita, sekä toimenpiteitä. Jakson lähdeluettelo: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ https://www.crowdstrike.com/adversaries/scattered-spider/ https://www.is.fi/digitoday/tietoturva/art-2000009070262.html https://darknetdiaries.com/transcript/112/ https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-iosxe-webui-rce-uk8BXcUD.html https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/ https://bazaar.abuse.ch/browse/tag/pikabot/ https://threatfox.abuse.ch/browse/malware/win.pikabot/ https://www.bleepingcomputer.com/news/security/new-cvss-40-vulnerability-severity-rating-standard-released/

Tällä kertaa Uhkametsällä puhutaan teknisistä incident response tutkinnan vaiheista. Aihe on pintaraapaisu ja aika ei yhdessä jaksossa riitä käsittelemään kuin melko pintapuolisesti aihealuetta. Tämä on hieman teknisempi jatke jaksolle 26: Poikkeamanhallinta ja tutkinta. Lähteet: https://zeltser.com/security-incident-questionnaire-cheat-sheet/ https://www.ietf.org/rfc/rfc3227.txt https://github.com/ufrisk/MemProcFS https://github.com/volatilityfoundation/volatility3 https://github.com/volatilityfoundation/volatility https://volatility3.readthedocs.io/en/stable/volatility3.plugins.html https://github.com/VirusTotal/yara https://github.com/DidierStevens/DidierStevensSuite/blob/master/1768.py https://www.youtube.com/watch?v=8b6etqiIvb4 <- Christopher Lopez, Will they read my reports? Creating value driven reports https://www.youtube.com/watch?v=gqsE2coucjg <- Selena Larson, Threat Intel for Everyone: Writing Like a Jounarlist to produce clear, concise reports https://www.youtube.com/watch?v=vwKlNZ6mxak <- Lenny Zeltser, Hack the reader: Writing Effective Threat Reports with Lenny Zeltser https://www.sans.org/posters/windows-forensic-analysis/ https://ericzimmerman.github.io/#!index.md https://timesketch.org/ https://github.com/log2timeline/plaso https://github.com/WithSecureLabs/chainsaw https://github.com/Yamato-Security/hayabusa https://github.com/LDO-CERT/orochi https://www.fox-it.com/nl-en/dissect/

Tässä jaksossa keskustellaan business email compromise (BEC) ilmiöstä, ihmetellään nimeämiskäytäntöjä uhkatoimijoiden toimesta sekä valitaan ikäkriisiin sopivia hoitokeinoja. Tervetuloa kuuntelemaan! Lähdeluettelo: https://www.microsoft.com/en-us/security/blog/2023/06/08/detecting-and-mitigating-a-multi-stage-aitm-phishing-and-bec-campaign/ https://tietosuoja.fi/office-365 https://learn.microsoft.com/en-us/microsoft-365/security/office-365-security/responding-to-a-compromised-email-account?view=o365-worldwide https://blog.talosintelligence.com/qakbot-affiliated-actors-distribute-ransom/ https://securityaffairs.com/151862/breaking-news/exfiltration-infrastructure.html https://serverfault.com/questions/1137030/ftp-error-530-user-cannot-log-in https://www.wiz.io/blog/cve-2023-4863-and-cve-2023-5217-exploited-in-the-wild https://www.bleepingcomputer.com/news/security/evilproxy-uses-indeedcom-open-redirect-for-microsoft-365-phishing/

Jaksossa puhutaan tällä kertaa kahdesta kasinoryöstöstä, Caesar Entertainmentin ja MGM:n tapauksista. Lähdeluettelo: https://www.securityweek.com/caesars-confirms-ransomware-hack-stolen-loyalty-program-database/ https://cybernews.com/editorial/mgm-caesars-explained-scattered-spider/ https://www.quorumcyber.com/threat-actors/scattered-spider-threat-actor-profile/ https://www.securityweek.com/two-vegas-casinos-fell-victim-to-cyberattacks-shattering-the-image-of-impenetrable-casino-security/ https://www.mandiant.com/resources/blog/unc3944-sms-phishing-sim-swapping-ransomware https://www.theseus.fi/handle/10024/806660 https://krebsonsecurity.com/2022/01/who-wrote-the-alphv-blackcat-ransomware-strain/ https://www.bleepingcomputer.com/news/security/blackcat-alphv-ransomware-linked-to-blackmatter-darkside-gangs/ https://www.microsoft.com/en-us/security/blog/2022/06/13/the-many-lives-of-blackcat-ransomware/ https://www.reddit.com/r/cybersecurity/comments/16iubsc/alphv_blackcat_just_released_an_annoucement_about/?share_id=93xIENEcArpzHjZZhmQSs&utm_content=1&utm_medium=ios_app&utm_name=ioscss&utm_source=share&utm_term=1 https://github.com/mategol/PySilon-malware https://finance.yahoo.com/news/spycloud-report-infostealer-malware-precursor-100500075.html?guccounter=1 https://www.bleepingcomputer.com/news/security/bumblebee-malware-returns-in-new-attacks-abusing-webdav-folders/

Tässä jaksossa käsitellään operaatio Duck Huntia, keskustellaan avoimen lähdekoodin infostealerista ja taas arvostellaan eri elintarvikkeita. Tervetuloa metsälle! Lähdeluettelo: https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown https://krebsonsecurity.com/2023/08/u-s-hacks-qakbot-quietly-removes-botnet-infections/ https://www.reliaquest.com/blog/the-3-malware-loaders-behind-80-of-incidents/ https://success.trendmicro.com/dcx/s/solution/000283381?language=en_US https://www.darkreading.com/attacks-breaches/russia-fancy-bear-apt-ukrainian-energy-facility https://www.hackread.com/agent-tesla-variant-excel-exploit-windows-pc/ https://www.darkreading.com/threat-intelligence/cybercriminals-team-up-upgrade-sapphirestealer-malware https://thehackernews.com/2023/08/darkgate-malware-activity-spikes-as.html https://cyble.com/blog/bumblebee-returns-with-new-infection-technique/ https://twitter.com/RansomwareNews https://lots-project.com/ https://lolbas-project.github.io/#

Ransukoira taas irti!Jaksossa käsitellään vuoden 2023 ransutuksia ja alkusyksyn ransu-uutisia. Lähteet: https://www.securityweek.com/rapid7-says-roi-for-ransomware-remains-high-zero-day-usage-expands/ https://socradar.io/threat-actor-profile-bianlian-the-shape-shifting-ransomware-group/ https://www.malwarebytes.com/blog/threat-intelligence/2023/08/ransomware-review-august-2023 https://www.securityweek.com/evidence-suggests-ransomware-group-knew-about-moveit-zero-day-since-2021/ https://www.bleepingcomputer.com/news/security/the-week-in-ransomware-august-18th-2023-lockbit-on-thin-ice/ https://www.bleepingcomputer.com/news/security/monti-ransomware-targets-vmware-esxi-servers-with-new-linux-locker/ https://www.bleepingcomputer.com/news/security/linux-version-of-abyss-locker-ransomware-targets-vmware-esxi-servers/ https://www.bleepingcomputer.com/news/security/cuba-ransomware-uses-veeam-exploit-against-critical-us-organizations/ https://labs.withsecure.com/publications/fin7-target-veeam-servers https://www.coresecurity.com/core-labs/open-source-tools/impacket https://thehackernews.com/2023/08/new-blackcat-ransomware-variant-adopts.html https://www.theregister.com/2023/08/21/winrar_vuln_could_allow_code/ https://www.darkreading.com/edge-threat-monitor/citrix-adc-gateways-still-backdoored-even-after-being-patched https://techcommunity.microsoft.com/t5/excel-blog/announcing-python-in-excel-combining-the-power-of-python-and-the/ba-p/3893439 https://securityaffairs.com/149770/malware/akira-ransomware-cisco-vpn.html https://securelist.com/emotet-darkgate-lokibot-crimeware-report/110286/ https://github.com/mandiant/citrix-ioc-scanner-cve-2023-3519

Tässä jaksossa käsitellään uhkatoimijoiden aktiivisesti käyttämää EvilProxya ja perehdytään GRU kyberoperaatioiden disruptiiviseen toimintaan. Uhkametsä täyttää myös 1 vuoden ja haluamme kiittää kaikkia kuuntelijoita jotka ovat olleet matkalla mukana! Lähdeluettelo: https://www.mandiant.com/resources/blog/gru-disruptive-playbook https://supo.fi/en/apt-operations https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/windows-firewall/create-a-group-policy-object https://www.standard.co.uk/tech/who-are-anonymous-sudan-hacker-group-behind-microsoft-outage-b1088879.html https://www.scmagazine.com/news/gootloader-seo-watering-hole-malware-targets-law-firms https://securityaffairs.com/149405/hacking/statc-stealer-info-stealer.html https://www.bleepingcomputer.com/news/security/new-evilproxy-service-lets-all-hackers-use-advanced-phishing-tactics/ https://securityaffairs.com/135318/cyber-crime/evilproxy-phishing-as-a-service.html?amp=1 https://securityaffairs.com/149348/hacking/cloud-account-takeover-scheme-evilproxy.html?amp=1 https://www.proofpoint.com/us/blog/email-and-cloud-threats/cloud-account-takeover-campaign-leveraging-evilproxy-targets-top-level https://securelist.com/focus-on-droxidat-systembc/110302/ https://lolbas-project.github.io/

Uhkametsän historian toinen haastattelujakso! Tällä kertaa haastateltavina ovat kyberalalla jo pitkään toimineet Antti Kurittu ja Niklas Särökaari. Antti ja Niklas ovat tuttuja mm. edellisestä Disobeysta jossa molemmat pitivät loistavat puheenvuorot. Uhkametsä haluaakin antaa erityiskiitoksen molemmille haastateltaville osallistumisesta!

Tässä jaksossa keskustellaan siitä, mitä kaikkea kuuluu tyypilliseen incident response tutkintaan. Juontajat lisäävät myös omia kokemuksiaan tuomaan käytännön läheisiä esimerkkejä tutkinnan elinkaaren eri vaiheissa. Tervetuloa metsälle! Jaksolle seuraava osa julkaistaan myöhemmin syksyllä 2023. Lähteet: https://www.sans.org/white-papers/1516/ https://twitter.com/ido_cohen2/status/1678431236912455682 https://www.trendmicro.com/en_us/research/23/c/emotet-returns-now-adopts-binary-padding-for-evasion.html

Histamiinia mukaillen, Klip Cl0p Klip Cl0P hevo-i-nen on pop! Uhkiksella jutustelua MoveIt haavoittuvuuden myötä vahvasti julkisuuteen nousseesta Cl0p kiristyshaittaohjelmasta. Lisäksi muutama ajankohtainen uhka. Lähteet: https://flashpoint.io/blog/clop-ransomware-moveit-vulnerability/ https://blogs.blackberry.com/en/2023/06/clop-ransomware-and-moveit-cyberattack https://therecord.media/shell-impacted-in-clop-ransomware-attack https://www.theregister.com/2023/06/15/clop_broke_into_the_doe/ https://thecyberexpress.com/cl0p-lists-more-moveit-hack-victims/ https://cybernews.com/security/clop-victims-pwc-ernst-young-sony-moveit-hack/ https://blogs.infoblox.com/security/clop-ransomware-demands-20-million-ransom/ https://www.trendmicro.com/vinfo/tr/security/news/cybercrime-and-digital-threats/ransomware-double-extortion-and-beyond-revil-clop-and-conti https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-clop https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-158a https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/06/23093553/Common-TTPs-of-the-modern-ransomware_low-res.pdf https://research.splunk.com/endpoint/07e08a12-870c-11eb-b5f9-acde48001122/ https://www.cybereason.com/blog/research/cybereason-vs.-clop-ransomware https://www.mcafee.com/blogs/other-blogs/mcafee-labs/clop-ransomware/ https://www.securityweek.com/siemens-energy-schneider-electric-targeted-by-ransomware-group-in-moveit-attack/ https://www.bleepingcomputer.com/news/security/new-pindos-javascript-dropper-deploys-bumblebee-icedid-malware/ https://www.microsoft.com/en-us/security/blog/2023/06/14/cadet-blizzard-emerges-as-a-novel-and-distinct-russian-threat-actor/ https://securityaffairs.com/147887/hacking/mockingjay-process-injection-technique.html

Uhkametsällä keskustellaan hieman erilaisesta aiheesta, tietoturvavalvomosta. Juontajat pohtivat miten koko homma toimii ja miltä Jounin tekemä SOC näyttäisi. Tervetuloa kuuntelemaan! Lähteet: https://www.mitre.org/news-insights/publication/11-strategies-world-class-cybersecurity-operations-center

Uhkametsällä palataan kiristyshaittaohjelmien pariin Black Bastan muodossa ja lisäksi jutustellaan Iranilaisten uusimmista kujeista. Lähteet: https://www.trendmicro.com/vinfo/gb/security/news/ransomware-spotlight/ransomware-spotlight-blackbasta https://www.cybereason.com/blog/cybereason-vs.-black-basta-ransomware https://www.coindesk.com/tech/2023/02/23/ransomware-group-conti-has-re-surfaced-under-a-new-name-trm-labs/ https://thehackernews.com/2023/03/the-prolificacy-of-lockbit-ransomware.html https://www.bleepingcomputer.com/news/security/us-govt-contractor-abb-confirms-ransomware-attack-data-theft/ https://www.kroll.com/en/insights/publications/cyber/black-basta-technical-analysis https://labs.withsecure.com/publications/prelude-to-ransomware-systembc https://securityaffairs.com/146690/apt/powerexchange-backdoor-iran.html https://www.bleepingcomputer.com/news/security/iranian-hackers-use-new-moneybird-ransomware-to-attack-israeli-orgs/ https://www.securityweek.com/iranian-hackers-target-middle-east-entities-with-new-windows-kernel-driver/ https://eclypsium.com/blog/supply-chain-risk-from-gigabyte-app-center-backdoor/

Uhkametsällä perehdytään pahamaineiseen Turla APT ryhmään perusteellisesti. Jaksossa käsitellään Turlan historiaa nykypäivään asti. Tarkastetaan myös lopuksi viimeaikaiset trendit haittaohjelmissa. Lähteet: https://www.industrialcybersecuritypulse.com/threats-vulnerabilities/throwback-attack-russian-apt-group-turla-has-hit-45-countries-since-2004/ https://attack.mitre.org/groups/G0010/ https://securelist.com/the-epic-turla-operation/65545/ https://exatrack.com/public/Tricephalic_Hellkeeper.pdf https://www.welivesecurity.com/wp-content/uploads/2020/05/ESET_Turla_ComRAT.pdf https://www.cfr.org/cyber-operations/agentbtz https://www.latimes.com/archives/la-xpm-2008-nov-28-na-cyberattack28-story.html https://paper.bobylive.com/Security/APT_Report/A_Threat_Actor_Encyclopedia.pdf https://www.kaspersky.com/blog/moonlight-maze-the-lessons/6713/ https://dmfrsecurity.com/2022/01/15/100-days-of-yara-day-27-loki2/ http://phrack.org/issues/49/6.html http://phrack.org/issues/51/6.html https://securelist.com/penquins-moonlit-maze/77883/ https://securelist.com/agent-btz-a-source-of-inspiration/58551/ http://blog.threatexpert.com/2008/11/agentbtz-threat-that-hit-pentagon.html https://www.mtvuutiset.fi/artikkeli/mtv3-suomen-ulkoministerio-laajan-verkkovakoilun-kohteena-vuosia/2369718 https://securelist.com/satellite-turla-apt-command-and-control-in-the-sky/72081/ https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2014/08/20082353/GData_Uroburos_RedPaper_EN_v1.pdf https://www.govcert.ch/downloads/whitepapers/Report_Ruag-Espionage-Case.pdf https://www.telsy.com/following-the-turlas-skipper-over-the-ocean-of-cyber-operations/ https://yle.fi/a/3-8591548 https://www.welivesecurity.com/2017/03/30/carbon-paper-peering-turlas-second-stage-backdoor/ https://cyberscoop.com/gazer-backdoor-turla-eset-2017/ https://blogs.blackberry.com/en/2017/06/this-week-in-security-6-09-2017 https://www.proofpoint.com/us/threat-insight/post/turla-apt-actor-refreshes-kopiluwak-javascript-backdoor-use-g20-themed-attack https://www.welivesecurity.com/2018/05/22/turla-mosquito-shift-towards-generic-tools/ https://www.welivesecurity.com/2019/05/29/turla-powershell-usage/ https://www.theregister.com/2019/10/21/british_spies_russia_faking_iranian_hack/ https://www.mandiant.com/resources/blog/turla-galaxy-opportunity https://techcrunch.com/2023/05/10/turla-snake-malware-network-russia-fsb/ https://securelist.com/sunburst-backdoor-kazuar/99981/

Tänään metsällä jutustellaan Kohopallolaukausesta ja paperihaavassa olevasta haavasta (haavaception!). Lisäksi kokeillaan jotain uutta. Lähteet: https://www.elastic.co/security-labs/elastic-security-labs-discovers-lobshot-malware https://www.trendmicro.com/en_us/research/23/d/update-now-papercut-vulnerability-cve-2023-27350-under-active-ex.html https://www.helpnetsecurity.com/2023/04/25/cve-2023-27350-poc/ https://www.huntress.com/blog/critical-vulnerabilities-in-papercut-print-management-software

Uhkametsällä perehdytään alati muuttuvaan initial access loader kentään (ei tule varmaan kenellekkään yllätyksenä), ihmetellään Ben & Jerry jäätelömakuista valtiollista toimijaa, unohtamatta Jounin grillikauden avausta! Jakson lähteet: Qakbot: https://www.malwarebytes.com/blog/news/2023/04/qbot-changes-tactic-remains-a-menace-to-business-networks BumbleBee: https://www.secureworks.com/blog/bumblebee-malware-distributed-via-trojanized-installer-downloads Infostealer ecosystem Sekoia: https://blog.sekoia.io/overview-of-the-russian-speaking-infostealer-ecosystem-the-distribution/ AuKill: https://news.sophos.com/en-us/2023/04/19/aukill-edr-killer-malware-abuses-process-explorer-driver/ Mint Sandstorm: https://www.microsoft.com/en-us/security/blog/2023/04/18/nation-state-threat-actor-mint-sandstorm-refines-tradecraft-to-attack-high-value-targets/ Microsoft taksonomia: https://www.microsoft.com/en-us/security/blog/2023/04/18/microsoft-shifts-to-a-new-threat-actor-naming-taxonomy/

Metsällä pitkästä aikaa juttua ransuhauvasta, unohtamatta 3CX toimitusketju-murtoa ja itsepurkautuvia arkistoja. Miten muuten lausutaan Rorschach? Lähteet: https://www.huntress.com/blog/3cx-voip-software-compromise-supply-chain-threats https://twitter.com/fr0gger_/status/1641668394155151366/photo/1 https://securityaffairs.com/144425/cyber-crime/rorschach-ransomware-fast-encryption.html https://therecord.media/cobalt-strike-abuse-microsoft-fortra-health-isac https://www.bleepingcomputer.com/news/security/winrar-sfx-archives-can-run-powershell-without-being-detected/ https://www.crowdstrike.com/blog/self-extracting-archives-decoy-files-and-their-hidden-payloads/

Uhkametsällä käsitellään tällä erää uusia työkaluja, arvioidaan miten kinettisiä uhkia voi metsästää sekä katsaus uusimpiin uhkiin joita Red Canary on raportissaan maininnut. Fiilistellään myös tietokonepelejä! Lähteet: https://threathunt.blog/analysis-of-the-current-malware-icedid/ https://arstechnica.com/gadgets/2023/03/journalist-plugs-in-unknown-usb-drive-mailed-to-him-it-exploded-in-his-face/ https://www.bleepingcomputer.com/news/security/emotet-malware-now-distributed-in-microsoft-onenote-files-to-evade-defenses/ https://twitter.com/DTCERT/status/1639281735593590784 https://www.cisa.gov/news-events/alerts/2023/03/23/untitled-goose-tool-aids-hunt-and-incident-response-azure-azure-active-directory-and-microsoft-365 https://www.github.com/cisagov/untitledgoosetool https://www.kqlsearch.com https://resource.redcanary.com/rs/003-YRU-314/images/2023_ThreatDetectionReport_RedCanary.pdf

Uhkametsällä on musta päivä, mustan lotuksen ja mustan mamban myötä. Lisäksi puhutaan muutama sana AI:sta, Jounin uusimmasta blogipostauksesta sekä muista kuulumisista. Lähteet: https://www.darkrelay.com/post/windows-11-s-secure-boot-defeated-by-blacklotus-malware-cve-2022-21894 https://www.darkreading.com/endpoint/ai-blackmamba-keylogging-edr-security https://www.bleepingcomputer.com/news/security/emotet-malware-attacks-return-after-three-month-break/ https://www.bleepingcomputer.com/news/security/proof-of-concept-released-for-critical-microsoft-word-rce-bug/