Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Вход Регистрация
MITRE ATT&CK - Инструмент Sakula
CVE уязвимости
БДУ ФСТЭК уязвимости
НКЦКИ уязвимости
MITRE ATT&CK
БДУ ФСТЭК
Новая БДУ ФСТЭК
Риски
Каталоги
MITRE ATT&CK
Инструмент
Sakula
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал

Sakula

Sakula is a remote access tool (RAT) that first surfaced in 2012 and was used in intrusions throughout 2015. (Citation: Dell Sakula)
ID: S0074
Type: MALWARE
Platforms: Windows
Version: 1.1
Created: 31 May 2017
Last Modified: 30 Mar 2020

Techniques Used
Domain ID Name Use
Enterprise T1548 .002 Abuse Elevation Control Mechanism: Bypass User Account Control

Sakula contains UAC bypass code for both 32- and 64-bit systems.(Citation: Dell Sakula)
Enterprise T1071 .001 Application Layer Protocol: Web Protocols

Sakula uses HTTP for C2.(Citation: Dell Sakula)
Enterprise T1547 .001 Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder

Most Sakula samples maintain persistence by setting the Registry Run key SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ in the HKLM or HKCU hive, with the Registry value and file name varying by sample.(Citation: Dell Sakula)
Enterprise T1059 .003 Command and Scripting Interpreter: Windows Command Shell

Sakula calls cmd.exe to run various DLL files via rundll32 and also to perform file cleanup. Sakula also has the capability to invoke a reverse shell.(Citation: Dell Sakula)
Enterprise T1543 .003 Create or Modify System Process: Windows Service

Some Sakula samples install themselves as services for persistence by calling WinExec with the net start argument.(Citation: Dell Sakula)
Enterprise T1573 .001 Encrypted Channel: Symmetric Cryptography

Sakula encodes C2 traffic with single-byte XOR keys.(Citation: Dell Sakula)
Enterprise T1574 .002 Hijack Execution Flow: DLL Side-Loading

Sakula uses DLL side-loading, typically using a digitally signed sample of Kaspersky Anti-Virus (AV) 6.0 for Windows Workstations or McAfee's Outlook Scan About Box to load malicious DLL files.(Citation: Dell Sakula)
Enterprise T1070 .004 Indicator Removal: File Deletion

Some Sakula samples use cmd.exe to delete temporary files.(Citation: Dell Sakula)
Enterprise T1218 .011 System Binary Proxy Execution: Rundll32

Sakula calls cmd.exe to run various DLL files via rundll32.(Citation: Dell Sakula)

Groups That Use This Software
ID Name References
G0009 Deep Panda

(Citation: ThreatConnect Anthem)

References

  1. Dell SecureWorks Counter Threat Unit Threat Intelligence. (2015, July 30). Sakula Malware Family. Retrieved January 26, 2016.
  2. ThreatConnect Research Team. (2015, February 27). The Anthem Hack: All Roads Lead to China. Retrieved January 26, 2016.
Навигация

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.