Ransomware not only Encrypts Your Data But Also Speaks to You

A ransomware called Cerber has been floating around for about a week, but we were not able to retrieve a sample until today. Thanks to @BiebsMalwareGuy and @MeegulWorth, samples were found and further analysis of the ransomware could be done.  When infected, a victim's data files will be encrypted using AES encryption and will be told they need to pay a ransom of 1.24 bitcoins or ~500 USD to get their files back. Unfortunately, at this point there is no known way to decrypt a victim's encrypted files for free.

http://www.bleepingcomputer.com/news/security/the-cerber-ransomware-not-only-encrypts-your-data-but-also-speaks-to-you/

At this time we do not currently know how the Cerber ransomware is being distributed, but according to SenseCy, it is being offered as a service on a closed underground Russian forum. This means that it is probably a new Ransomware as a Service, or RaaS, where affiliates can join in order to distribute the ransomware, while the Cerber developers earn a commission from each ransom payment.

For anyone who is infected with this ransomware or wants to discuss the infection, we have a dedicated support topic here: CERBER Ransomware Support and Help Topic.  http://www.bleepingcomputer.com/forums/t/606583/cerber-ransomware-support-and-help-topic-decrypt-my-files-htmltxtvbs/

Widespread Attack on Office 365 Corporate Users with Zero-day Ransomware Virus- http://www.avanan.com/resources/attack-on-office-365-corporate-users-with-zero-day-ransomware-virus

Checkpoint blogged about it in detail: http://blog.checkpoint.com/2016/06/20/cerber-ransomware-targets-u-s-turkey-and-the-uk-in-two-waves/

Sample Analysis:

https://www.hybrid-analysis.com/sample/e8c6741d3d21068535fb6bb7fe676ecaa74eee06a655c7aa915fc39c0ee7ee16?environmentId=1

https://malwr.com/analysis/YTg3ZDk4ODEwZDllNGM1YmFiYjgyYWVjZDAxOWY3NTg/

https://www.securityhome.eu/malware/malware.php?mal_id=1128672105570daa3fa33c24.72313944

Godless Malware In Android:

"We came across a family of mobile malware called Godless (detected as ANDROIDOS_GODLESS.HRX) that has a set of rooting exploits in its pockets. By having multiple exploits to use, Godless can target virtually any Android device running on Android 5.1 (Lollipop) or earlier. As of this writing, almost 90% of Android devices run on affected versions."




Detailed post by Trendmicro:

http://blog.trendmicro.com/trendlabs-security-intelligence/godless-mobile-malware-uses-multiple-exploits-root-devices/

Dark Seoul Implant with zero detection:

Famous Malware researcher Snorre Fagerland tweeted that dark seoul implant having zero detection in Virustotal.

https://twitter.com/SnorreFagerland/status/725211677277310977

Here is the VT link:
https://www.virustotal.com/en/file/061044ffbebeebab449a13ee74799fd9c58b9b383149cbde7a7f6db77c54f72e/analysis/

At this time of writing, 0/56 in VT. i.e. No antivirus vendor flagged this implant.

Important Links Related Tocybe Cyber Security:

For all the folks who have passion on cyber security, I have a good list of interesting links to study and practise cyber security stuffs. In this post, we predominantly focused on web application testing. Please go through these links and give your comments.

The following links for video tutorials:
OWASP Appsec Tutorial Series - https://www.owasp.org/index.php/OWASP_Appsec_Tutorial_Series
SecurityTube - http://www.securitytube.net/
Videos by Imperva - http://www.imperva.com/resources/videos.asp

Deliberately Insecure Web Applications
OWASP Vulnerable Web Applications Directory Project -

https://www.owasp.org/index.php/OWASP_Vulnerable_Web_Applications_Directory_Project#tab=Main

BadStore - http://www.badstore.net/

Damn Vulnerable Web App - http://www.ethicalhack3r.co.uk/damn-vulnerable-web-app/

Moth - http://www.bonsai-sec.com/en/research/moth.php

Mutillidae - http://www.irongeek.com/i.php?page=mutillidae/mutillidae-deliberately-vulnerable-php-owasp-top-10

Hacme Series from McAfee:

+ Hacme Travel - http://www.mcafee.com/us/downloads/free-tools/hacmetravel.aspx
+ Hacme Bank - http://www.mcafee.com/us/downloads/free-tools/hacme-bank.aspx
+ Hacme Shipping - http://www.mcafee.com/us/downloads/free-tools/hacmeshipping.aspx
+ Hacme Casino - http://www.mcafee.com/us/downloads/free-tools/hacme-casino.aspx
+ Hacme Books - http://www.mcafee.com/us/downloads/free-tools/hacmebooks.aspx


Stanford SecuriBench - http://suif.stanford.edu/~livshits/securibench/

Vicnum - http://vicnum.sourceforge.net/ and

http://www.owasp.org/index.php/Category:OWASP_Vicnum_Project

WebGoat - http://www.owasp.org/index.php/Category:OWASP_WebGoat_Project

WebMaven (better known as Buggy Bank) - http://www.mavensecurity.com/WebMaven.php

Security patch update:
https://technet.microsoft.com/en-us/security/bulletin/dn602597.aspx

APT: Carbanak (Hindi)

स्थिति: सक्रिय
प्रकार: पिछले दरवाजे
डिस्कवरी: 2014
लक्षित प्लेटफॉर्म: Windows
पहली ज्ञात नमूना: 2013
लक्ष्य की संख्या: 11-100


विशेष लक्षण:
सबसे पहले एपीटी कभी आपराधिक।
Carbanak cybergang दुनिया भर में 100 वित्तीय संस्थाओं से $ 1bn चोरी कर रहा था।
भूखंड दुर्भावनापूर्ण उपयोगकर्ताओं बैंकों से सीधे पैसे चोरी, और अंत उपयोगकर्ताओं को निशाना बनाने से बचें जहां cybercriminal गतिविधि के विकास में एक नए चरण की शुरुआत के निशान।
सबसे बड़ी रकम बैंकों में हैकिंग और प्रत्येक छापे में दस लाख डॉलर तक चोरी करके पकड़ा गया।


शीर्ष 10 देशों:
रूस, अमरीका, जर्मनी, चीन, यूक्रेन, कनाडा, ताइवान, हांगकांग, हांगकांग, ब्रिटेन, स्पेन, नॉर्वे, भारत, फ्रांस, पोलैंड, पाकिस्तान, नेपाल, मोरक्को, चेक गणराज्य, स्विट्जरलैंड, बुल्गारिया, ऑस्ट्रेलिया, आइसलैंड, ब्राजील

लक्ष्य:
वित्तीय संस्थानों

APT - Hellsing (Hindi)

स्थिति: सक्रिय
प्रकार: दूरस्थ प्रशासन उपकरण
डिस्कवरी: गर्मी 2014
लक्षित प्लेटफॉर्म: Windows
पहली ज्ञात नमूना: 2012
लक्ष्य की संख्या: 11-100

शीर्ष लक्षित देशों:
मलेशिया, फिलीपींस, भारत, इंडोनेशिया, संयुक्त राज्य अमेरिका

लक्ष्य:
सरकारी संस्थाओं
राजनयिक संगठनों / दूतावासों

APT: Equation (Hindi)

स्थिति: सक्रिय
प्रकार: परिसर cyberattack मंच
डिस्कवरी: 2014
लक्षित प्लेटफॉर्म: Windows
पहली ज्ञात नमूना: 2002
लक्ष्य की संख्या: 500-1,000

शीर्ष लक्षित देशों:
ईरान, रूस, पाकिस्तान, अफगानिस्तान, भारत, चीन, सीरिया, माली, लेबनान, यमन

विशेष लक्षण:
हार्ड ड्राइव फर्मवेयर को संक्रमित करने की क्षमता
पीड़ितों को संक्रमित करने के लिए "पाबंदी" तकनीक का उपयोग
आपराधिक मैलवेयर के लिए नकल उतार।

लक्ष्य:
नैनो
वित्तीय संस्थानों
परमाणु उद्योग
कार्यकर्ता
एकेडेमिया / अनुसंधान
सरकारी संस्थाओं
ऊर्जा, तेल और गैस कंपनियों
सैन्य
टेलीकाम
राजनयिक संगठनों / दूतावासों
व्यापार एवं वाणिज्य
एयरोस्पेस
मास मीडिया और टीवी
उच्च प्रौद्योगिकी कंपनियों
शिक्षा
ढुलाई

APT:Hacking Team RCS (Hindi)

स्थिति: सक्रियप्रकार: पिछले दरवाजे, ट्रोजन, रूटकिटडिस्कवरी: 2011लक्षित प्लेटफार्म: विंडोज, ओएस एक्स, ब्लैकबेरी, विंडोज मोबाइल, एंड्रॉयड, आईओएसपहली ज्ञात नमूना: 2008लक्ष्य की संख्या: 101-500
टॉप लक्षित देशों:रूस, चीन, इटली, वियतनाम, अमेरिका, तुर्की, इराक, मेक्सिको, जर्मनी, भारत
विशेष लक्षण:"व्यापार करने वाली सरकार" स्पाइवेयरएक पर्सनल कंप्यूटर / मोबाइल डिवाइस का उपयोग किया जाता है किसी भी कार्रवाई की निगरानी कर सकते हैं।कंप्यूटर और मोबाइल उपकरणों के लिए मॉड्यूलयूएसबी फ्लैश ड्राइव के माध्यम से स्व-प्रतिकृतिआभासी ड्राइव पर ऑटोरन फ़ोल्डर में खुद को कॉपी करके आभासी VMware मशीनों का संक्रमणआत्म अद्यतन करने की क्षमतानमूने कानूनी अधिकारियों द्वारा हस्ताक्षर किए हैंयूएसबी केबल के माध्यम से स्थानीय संक्रमण मोबाइल उपकरणों सिंक्रनाइज़ करते समयहर ठोस लक्ष्य के लिए विशिष्ट दुर्भावनापूर्ण प्रत्यारोपणआईओएस मोबाइल मॉड्यूल द्वारा समर्थित कम से कम 39 एप्पल उपकरणोंदोनों जेलब्रेक और गैर जेलब्रेक आईफ़ोन संक्रमित हो सकते हैं: एक हमलावर पहले से ही संक्रमित कंप्यूटर के माध्यम से एक दूरस्थ भागने का संचालन कर सकते हैं
लक्ष्य:कार्यकर्तापत्रकारोंराजनेताआपराधिक संदिग्धों

APT: Cloud Atlas (Hindi)

स्थिति: सक्रिय
प्रकार: ट्रोजन
डिस्कवरी: अगस्त 2014
लक्षित प्लेटफार्म: विंडोज, एंड्रॉयड, आईओएस, लिनक्स
पहली ज्ञात नमूना: 2014
लक्ष्य की संख्या: 11-100

टॉप लक्षित देशों:
रूस, कजाखस्तान, बेलारूस, भारत, चेक गणराज्य

विशेष लक्षण:
CloudAtlas RedOctober हमलों की एक पुनर्जन्म का प्रतिनिधित्व करता है।
RedOctober के शिकार लोगों में से कुछ भी CloudAtlas द्वारा लक्षित कर रहे हैं।
बादल एटलस और RedOctober दोनों मैलवेयर प्रत्यारोपण एक लोडर और, एन्क्रिप्टेड संग्रहीत और एक बाहरी फ़ाइल में संकुचित है कि एक अंतिम पेलोड के साथ एक समान निर्माण पर भरोसा करते हैं।
CloudAtlas प्रत्यारोपण एक बल्कि असामान्य सी और सी तंत्र का उपयोग - सभी मालवेयर नमूनों एक बादल सेवा प्रदाता से खातों के साथ संवाद।
माइक्रोसॉफ्ट ऑफिस सीधे डिस्क पर एक Windows पीई पिछले दरवाजे लिख नहीं है शोषण। इसके बजाय, यह एक एन्क्रिप्टेड विजुअल बेसिक स्क्रिप्ट लिखता है और इसे चलाता है।


लक्ष्य:
राजनयिक संगठनों / दूतावासों
सरकारी संस्थाओं

APT: Cloud Atlas

Cloud Atlas

STATUS:Active
TYPE:Trojan
DISCOVERY:August 2014
TARGETED PLATFORMS:Windows, Android, iOS, Linux
FIRST KNOWN SAMPLE:2014
NUMBER OF TARGETS:11-100

TOP TARGETED COUNTRIES:
Russia, Kazakhstan, Belarus, India, The Czech Republic

Special Features:
CloudAtlas represents a rebirth of the RedOctober attacks.
Some of the victims of RedOctober are also targeted by CloudAtlas.
Both Cloud Atlas and RedOctober malware implants rely on a similar construction, with a loader and a final payload that is stored, encrypted and compressed in an external file.
CloudAtlas implants utilize a rather unusual C&C mechanism - all malware samples communicate with accounts from a cloud services provider.
The Microsoft Office exploit doesn’t directly write a Windows PE backdoor on disk. Instead, it writes an encrypted Visual Basic Script and runs it.


TARGETS:
Diplomatic organizations/embassies
Government entities

APT:Hacking Team RCS

Hacking Team RCS

STATUS:Active
TYPE:Backdoor, Trojan, Rootkit
DISCOVERY:2011
TARGETED PLATFORMS:Windows, OS X, BlackBerry, Windows Mobile, Android, iOS
FIRST KNOWN SAMPLE:2008
NUMBER OF TARGETS:101-500

TOP TARGETED COUNTRIES:
Russia, China, Italy, Vietnam, USA, Turkey, Iraq, Mexico, Germany, India

Special Features:
“Business-to-government” spyware
Can monitor any action performed using a personal computer/mobile device.
Modules for computers and mobile devices
Self-replication via USB flash drive
Infection of virtual VMware machines by copying itself into the autorun folder on the virtual drive
Ability to self-update
Samples are signed by legal authorities
local infections via USB cables while synchronizing mobile devices
Specific malicious implant for every concrete target
At least 39 Apple devices supported by the iOS mobile modules
Both jailbroken and non-jailbroken iPhones can be infected: an attacker can conduct a remote jailbreak through already infected computers

TARGETS:
Activists
Journalists
Politicians
Criminal suspects