Contenido de Búsqueda de Amenazas: Detección Múltiple de HawkEye

Comenzamos la semana con una nueva regla de Emir Erdogan – HawkEye Multiple Detection (Campaña de Phishing con temática de Covid19). Este malware también es conocido como Predator Pain, roba una variedad de información sensible del sistema infectado, incluida información sobre billeteras de bitcoin y credenciales para navegadores y clientes de correo. El ladrón es capaz de tomar capturas de pantalla y puede actuar como un keylogger. El malware se distribuye desde 2013, está disponible como un servicio en la dark web, y sus autores implican a sus clientes en la reventa del malware. Gracias a esta actividad, casi todos los días se suben nuevas muestras del infostealer HawkEye a any.run. Por lo general, se usa al comienzo de un ataque para recopilar información y credenciales antes de instalar otras herramientas, especialmente desde que se descubrió una función de descarga descubierta en muestras descubiertas recientemente.

Una regla de Emir Erdogan descubre variantes de HawkEye que se distribuyen a través de correos electrónicos de phishing con temática de COVID-19 dirigidos a múltiples organizaciones en el sector de la salud. No se puede determinar al actor de la amenaza detrás de esta campaña, pero investigadores de seguridad de Anomali creen que muestran un nivel moderado de sofisticación.

https://tdm.socprime.com/tdm/info/PI3uYeozxMLb/sCEcGHIBjwDfaYjKTYKZ/?p=1

La regla tiene traducciones para las siguientes plataformas:

SIEM: ArcSight, QRadar, Splunk, Graylog, ELK Stack, RSA NetWitness, Logpoint, Humio

EDR: Carbon Black

MITRE ATT&CK:

Tácticas: Ejecución, Persistencia, Escalamiento de Privilegios, Evasión de Defensa

Técnicas: Inyección de Procesos (T1055), Tarea Programada (T1053), Empaquetado de Software (T1045)

También queremos llamar su atención a la regla comunitaria actualizada por Joseph Kamau, otro participante en el Programa de Recompensas por Amenazas que detecta esta familia de malware: https://tdm.socprime.com/tdm/info/UfASCTRThrpD/ucL5um0BEiSx7l0HUYUP/

Más reglas relacionadas:

Detector de keylogger Hawkeye por Lee Archinal – https://tdm.socprime.com/tdm/info/vQ4U4oKDynbo/ss22ImsBohFCZEpaTLaW/

Malware HawkEye – estafa del Coronavirus (detección de Sysmon) por Ariel Millahuel – https://tdm.socprime.com/tdm/info/VuI07TPn1F2J/AbHIBnEBqweaiPYISiu3/

Hawkeye Strain de la lista de compras PDF (Comportamiento de Sysmon)(19-Marzo-2020) por Lee Archinal – https://tdm.socprime.com/tdm/info/G8ZfXLdGYn0Q/i7FZ93ABqweaiPYIJiTQ/