ВСЕ НОВОСТИ
УПРАВЛЯЙТЕ РИСКАМИ — НЕ ЖДИТЕ АТАК
Пентест для устойчивости и соответствия требованиям
Реалистичная проверка внешнего периметра: выявляем уязвимости до злоумышленников и подтверждаем готовность вашего бизнеса к киберугрозам.
ПротестироватьWannaCryptor: два файловых индикатора без подтверждения кампании
По данным Подразделения CRATU, в сводке внешнего источника приведены два файловых индикатора, отнесённых к теме WannaCryptor: MD5 и SHA-1. Это повод для ретроспективного поиска и точечного блокирования, но не доказательство новой кампании, исполнения ВПО в инфраструктуре или связи с конкретной группировкой. Текущее наблюдение У каждого хэша — одно наблюдение из одного источника. Не установлено, относятся ли они к одному файлу. Совпадение может отражать сканирование, блокирование, карантин, передачу или хранение файла и само по себе не подтверждает его запуск. Также текущие данные не подтверждают SMB-распространение или связь с конкретным актором.Индикаторы- MD5: affe4cd2a433123d83231b353a74e4a6 (affe4cd2a433123d83231b353a74e4a6) - SHA-1: 0c820a470461c5fe0db226e2dc4485f116a02d95 (0c820a470461c5fe0db226e2dc4485f116a02d95) Исторический контекст Исторически WannaCry распространялся через SMBv1/EternalBlue, а также создавал службу `mssecsvc2.0` и шифровал файлы. Эти признаки описывают известный профиль семейства, но не подтверждены для двух текущих хэшей. Переносить их на индикаторы без анализа образцов нельзя. Что проверить SOC 1. Выполнить ретроспективный поиск каждого хэша отдельно в SIEM, EDR и доступных файловых хранилищах. 2. Для совпадений проверить действие защитного продукта и контекст: обнаружение, блокирование, карантин, передача или хранение; отдельно установить, был ли запуск файла и какой процесс его инициировал. 3. По возможности валидировать оба значения через SHA-256 и анализ образца. Не эскалировать совпадение как возможное исполнение без процессной телеметрии и/или подтверждённых поведенческих признаков. 4. При наличии образца проверить признаки исторического профиля WannaCry — обращения к kill-switch-домену, попытки эксплуатации SMBv1/MS17-010, создания `mssecsvc2.0` и шифрования файлов. В исходных данных результатов такого анализа нет. Новость дополняется...
Источник: TTL OSINT 
Следите за киберугрозами вместе с экспертами CRATU!
Анализ реальных атак, техники APT-групп, новые уязвимости, практические рекомендации по детекту и доля иронии — всё, как вы любите.
CRATU — ваш инсайдерский источник по кибербезопасности. Подписывайтесь на наш Telegram-канал
Анализ реальных атак, техники APT-групп, новые уязвимости, практические рекомендации по детекту и доля иронии — всё, как вы любите.
CRATU — ваш инсайдерский источник по кибербезопасности. Подписывайтесь на наш Telegram-канал
