Digest do SOC Prime Threat Bounty — Resultados de Abril de 2024
Índice:
Publicações de Recompensas por Ameaça
Membros entusiastas do Programa de Recompensas por Ameaça submeteram mais de 250 detecções para revisão e uma chance de ter suas detecções publicadas na Plataforma SOC Prime e recompensas baseadas em classificação. Todas as regras foram cuidadosamente revisadas por nossa equipe de engenheiros de detecção distintos e, como resultado, 59 das regras submetidas foram publicadas no Mercado de Detecção de Ameaças.
Para as publicações de conteúdo de Recompensas por Ameaça, todas as detecções submetidas são revisadas por uma equipe experiente para determinar se os critérios de aceitação do conteúdo são atendidos. Encorajamos os membros do programa a aderirem aos requisitos de aceitação de conteúdo para garantir que as regras desenvolvidas tenham uma alta chance de publicação e que os autores gastem seus esforços no desenvolvimento de conteúdo de maneira razoável e eficiente.
Principais Regras de Detecção de Recompensas por Ameaça
Por favor, veja as regras de detecção que foram as mais populares entre as empresas que utilizam a Plataforma SOC Prime para suas operações de segurança:
- Atividade de Persistência de Malware SSLoad Suspeita para Uso Malicioso com Cobalt Strike pela Detecção de Comandos Associados (via process_creation) regra Sigma de caça a ameaças por Davut Selcuk detecta atividade suspeita de persistência de malware SSLoad potencialmente associada à implantação do Cobalt Strike. A detecção é baseada na observação de comandos específicos executados através de eventos de criação de processos em sistemas Windows.
- Atividade Maliciosa C2 Suspeita de ‘MuddyWater contra um alvo do Oriente Médio’ Pela Detecção de Linha de Comando PowerShell regra Sigma de caça a ameaças por Aung Kyaw Min Naing detecta a execução maliciosa de powershell pelo MuddyWater contra um alvo do Oriente Médio para abusar da chave de registro AutodialDLL e carregar DLL para o framework C2.
- Ataques de Injeção de Comando de Exploração Altamente Prováveis Usando a Vulnerabilidade Rust (CVE-2024-24576) regra de caça a ameaças por Emir Erdogan detecta ataques de injeção de comando no Windows via linguagem de programação rust com a ajuda de logs de criação de processos.
- Atividade de Persistência XWorm Suspeita pela Detecção de Comandos Associados (via process_creation) regra Sigma de caça a ameaças por Davut Selcuk visa detectar atividades de persistência suspeitas associadas ao malware XWorm. A regra identifica instâncias potenciais onde o XWorm estabelece persistência no sistema usando schtasks.exe.
- Possível Persistência do Forest Blizzard ao Adicionar Registro para Implantar Arquivo DLL através de Serviço Windows (via registry_event) regra Sigma de caça a ameaças por Nattatorn Chuensangarun detecta atividade suspeita do Forest Blizzard ao adicionar uma chave de registro para executar um arquivo Dll malicioso através de serviços do Windows.
Principais Autores
As regras de detecção dos seguintes membros do Programa de Recompensas por Ameaça foram as mais referidas por usuários ativos que confiam na Plataforma SOC Prime para aprimorar operações de segurança em suas organizações:
Estamos felizes em anunciar que os seguintes autores receberam insígnias de reconhecimento por suas contribuições ativas na Plataforma SOC Prime este ano:
Sittikorn Sangrattanapitak and Mehmet Kadir CIRIK – por alcançar o marco de 10 publicações bem-sucedidas este ano
Davut Selcuk – por alcançar 50 publicações bem-sucedidas de regras de detecção na Plataforma SOC Prime em 2024.
Próximas mudanças
Estamos ansiosos para introduzir um novo fluxo para membros do Programa de Recompensas por Ameaça criarem e gerenciarem suas regras via Uncoder AI. O lançamento que se aproxima irá substituir completamente o Portal do Desenvolvedor e o Bot de Regras Sigma para Recompensas por Ameaça, e Uncoder AI será utilizado como uma ferramenta única de IDE e gestão de submissão de conteúdo para membros do Programa de Recompensas por Ameaça.
Informaremos adicionalmente os membros do Threat Bounty sobre os detalhes das próximas mudanças no Discord, via Portal do Desenvolvedor antes de seu fim de vida, e por e-mail. Fique atento aos anúncios e boletins informativos sobre o Programa de Recompensas por Ameaça!
