Contenuto di Rilevamento: Campagna di Kpot Info Stealer

COVID-19 è di gran lunga l’argomento più popolare sfruttato dai cybercriminali nelle campagne di phishing e malspam. Recentemente, gli attaccanti hanno trovato un modo nuovo ed efficace per convincere l’utente ad aprire un allegato dannoso. I ricercatori di IBM X-Force hanno scoperto una campagna dannosa che utilizzava email che sembravano essere messaggi dal Dipartimento del Lavoro degli Stati Uniti. Gli avversari hanno abusato del tema del Family and Medical Leave Act, che dà ai dipendenti il diritto ai benefici di congedo medico, per convincere gli utenti a installare malware sui loro sistemi. Alla fine di aprile, i cybercriminali hanno diffuso il famigerato malware TrickBot attraverso questa campagna. Ha funzionato così bene per loro che qualche altro gruppo ha deciso di ripetere il loro successo e ha iniziato a utilizzare email simili per distribuire il ladro di informazioni Kpot.

Il ladro di informazioni Kpot è una famiglia di malware comune che è utilizzata negli attacchi da più di 2 anni. Il malware ha preso il nome da una stringa pubblicamente presente nel pannello di amministrazione. Può esfiltrare informazioni sugli account e altri dati sensibili da browser web, messaggeri istantanei, email, VPN, RDP, FTP, criptovalute e software di giochi. 

La regola esclusiva di Osman Demir rileva l’installazione del malware Kpot e le sue comunicazioni con i server C&C: https://tdm.socprime.com/tdm/info/ii9QqpiHyqy6/WAp0MXIBAq_xcQY4kDqR/?p=1

La regola ha traduzioni per le seguenti piattaforme:

SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, Logpoint, Humio

EDR: Carbon Black, Elastic Endpoint

MITRE ATT&CK: 

Tattiche: Accesso Iniziale

Tecniche: Allegato Spearphishing (T1193)

Altre regole per rilevare questa minaccia:

Comportamento KPOT (rilevamento Sysmon) di Ariel Millahuel – https://tdm.socprime.com/tdm/info/GLHwVXtutFHs/00Hs53ABya7YkBmwZL3D/
Downloader Powershell (Malware KPOT) di Emir Erdogan – https://tdm.socprime.com/tdm/info/UsThElkyx4kQ/OgkSeHEBAq_xcQY4Fq6F/

Visualizza tutte le regole di Osman Demir su TDM: specifica l’autore nel pannello dei filtri o usa l’opzione di ricerca con query Lucene (tags.author:Osman Demir). 

https://tdm.socprime.com/?authors[]=Osman+Demir