Apr 21Yeti 2.0 — Part 1a new version of Yeti has released. The big changes are: A new front webThreat Intelligence2 min readThreat Intelligence2 min read
Mar 313CX : une attaque par supplychainLe logiciel 3CX a subi une attaque par supplychain. Ce logiciel est utilisé par de nombreuses entreprises pour leur téléphonie. Il s’installe sur les postes de travail Windows, MacOs et Android. Le but de cet article n’est pas tant d’analyser l’attaque par elle-même et le malware déployé puisque cela a…3 min read3 min read
Dec 30, 2022Petite review 2022, ce qui va passer en 2023 et surtout meilleurs voeux pour 2023Une année un peu folle l’année 2022 aura été sur tous les plans une année un peu folle aussi bien perso que pro. Je ne m’étendrais pas sur le plan perso, la chose la plus marquante et la plus dingue est mon mariage. Coté pro, ça a été l’apothéose aussi. La première a été la…2 min read2 min read
Jan 31, 2022WhisperKill vs WhiteBlackCrypt: un petit soucis de fichiers…Fin de semaine dernière, le CERT UA publie un article détaillant que WhisperKill utilisé pour détruire les disques lors de l’attaque du #WhisperGate de ses victimes serait un copy cat de WhiteBlackCrypt. CERT-UA Урядова команда реагування на комп'ютерні надзвичайні події України, яка функціонує в складі Державного центру…cert.gov.ua avec une similarité des fonctions de 91 % Le soucis est quand on reprend les mêmes hashes que…Malware2 min readMalware2 min read
Jan 7, 2022La Threat Intel, c’est fini !Derrière ce titre un peu provocateur, c’est pour annoncer que je ne publierai plus d’article de CTI et ce pour plusieurs raisons. La première est d’un point vue honnêteté intellectuelle. On ne peut pas faire de bonne threat intelligence si on n’a pas de bonne télémétrie. Ce n’est pas en…2 min read2 min read
Jun 9, 2021TA428 behind Operation Lagtime: the following of IceFog ?In Chinese APT, Russia was the playground of IceFog with other country like Kazaghstan, Tadjikistan or Mongolia. Into the Fog — The Return of ICEFOG APT — Speaker Deck Now many report of APT, many campaigns target those countries by TA428 with many TTPs similare: DNS dynamic Sideloading Using same…Threat Intelligence2 min readThreat Intelligence2 min read
Mar 30, 2021RedEcho InfrastructureIn Februrary, Record Futur publishes an article about a campaign against the Indian Power Sector Amid Heightened Border Tensions by RedEcho https://www.recordedfuture.com/redecho-targeting-indian-power-sector/ After my investigation with the RiskIQ passive DNS, I found many IOCs interesting. The domain ntpc-co.com is the most interesting. This domains has been resolved on two IPs : 27.255.94.29 and 210.92.18.132.Threat Intelligence1 min readThreat Intelligence1 min read
Mar 23, 2021A .NET rat targets MongoliaA new document royal road v7 installs a backdoor in .NET. a first executable is dropped \os03C2.tmp. This exe has many similarities with older campaigns using by Operation LagTime or Tonto Team. Document The decoy document is a document about infection of covid19 in Russia send to the Mongolia Authorities…Malware4 min readMalware4 min read
Feb 8, 2021Babuk is distributed packeda new babuk ransomware was uploaded on Virustotal. bc4066c3b8d2bb4af593ced9905d1c9c78fff5b10ab8dbed7f45da913fb2d748 This version is packed with the same technics of GandGrab described here. Threat Profile: GandCrab Ransomware (morphisec.com) Packer The first stage is a first shellcode loaded with GloballAlloc and VirtualProtect in function 0042df00Malware4 min readMalware4 min read
Nov 25, 2020Actor behind Operation LagTime targets Russiathe file f5a78a155a219582db8959c3a96a1d91ed891801663b1cce0c599779773bc3f5 uses the version 7 of royal road document. This file drops in memory a new backdoor rewriting the process EQNEDT32.EXE. This document refers to the ceasefire between Armenia and Azerbaijan and seems to be send by the Mongolian authorities. Analysis of the backdoor in memory This backdoor is a state machine launching different…Malware Analysis2 min readMalware Analysis2 min read
