Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Вход Регистрация
MITRE ATT&CK - Инструмент Backdoor.Oldrea
Каталоги
MITRE ATT&CK
БДУ ФСТЭК
Новая БДУ ФСТЭК
Риски
Каталоги
MITRE ATT&CK
Инструмент
Backdoor.Oldrea
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал

Backdoor.Oldrea

Backdoor.Oldrea is a modular backdoor that used by Dragonfly against energy companies since at least 2013. Backdoor.Oldrea was distributed via supply chain compromise, and included specialized modules to enumerate and map ICS-specific systems, processes, and protocols.(Citation: Symantec Dragonfly)(Citation: Gigamon Berserk Bear October 2021)(Citation: Symantec Dragonfly Sept 2017)
ID: S0093
Type: MALWARE
Platforms: Windows
Version: 2.0
Created: 31 May 2017
Last Modified: 12 Oct 2022

Techniques Used
Domain ID Name Use
Enterprise T1087 .003 Account Discovery: Email Account

Backdoor.Oldrea collects address book information from Outlook.(Citation: Symantec Dragonfly)
Enterprise T1547 .001 Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder

Backdoor.Oldrea adds Registry Run keys to achieve persistence.(Citation: Symantec Dragonfly)(Citation: Gigamon Berserk Bear October 2021)
Enterprise T1555 .003 Credentials from Password Stores: Credentials from Web Browsers

Some Backdoor.Oldrea samples contain a publicly available Web browser password recovery tool.(Citation: Symantec Dragonfly)
Enterprise T1132 .001 Data Encoding: Standard Encoding

Some Backdoor.Oldrea samples use standard Base64 + bzip2, and some use standard Base64 + reverse XOR + RSA-2048 to decrypt data received from C2 servers.(Citation: Symantec Dragonfly)
Enterprise T1070 .004 Indicator Removal: File Deletion

Backdoor.Oldrea contains a cleanup module that removes traces of itself from the victim.(Citation: Symantec Dragonfly)
Enterprise T1218 .011 System Binary Proxy Execution: Rundll32

Backdoor.Oldrea can use rundll32 for execution on compromised hosts.(Citation: Gigamon Berserk Bear October 2021)

Groups That Use This Software
ID Name References
G0035 Dragonfly

(Citation: Symantec Dragonfly) (Citation: Gigamon Berserk Bear October 2021)

References

  1. Slowik, J. (2021, October). THE BAFFLING BERSERK BEAR: A DECADE’S ACTIVITY TARGETING CRITICAL INFRASTRUCTURE. Retrieved December 6, 2021.
  2. Symantec Security Response. (2014, July 7). Dragonfly: Western energy sector targeted by sophisticated attack group. Retrieved September 9, 2017.
  3. Symantec Security Response. (2014, June 30). Dragonfly: Cyberespionage Attacks Against Energy Suppliers. Retrieved April 8, 2016.
Навигация

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.