Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Вход Регистрация
MITRE ATT&CK - Инструмент QUADAGENT
CVE уязвимости
БДУ ФСТЭК уязвимости
НКЦКИ уязвимости
MITRE ATT&CK
БДУ ФСТЭК
Новая БДУ ФСТЭК
Риски
Каталоги
MITRE ATT&CK
Инструмент
QUADAGENT
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал

QUADAGENT

QUADAGENT is a PowerShell backdoor used by OilRig. (Citation: Unit 42 QUADAGENT July 2018)
ID: S0269
Type: MALWARE
Platforms: Windows
Version: 1.2
Created: 17 Oct 2018
Last Modified: 22 Mar 2023

Techniques Used
Domain ID Name Use
Enterprise T1071 .001 Application Layer Protocol: Web Protocols

QUADAGENT uses HTTPS and HTTP for C2 communications.(Citation: Unit 42 QUADAGENT July 2018)
.004 Application Layer Protocol: DNS

QUADAGENT uses DNS for C2 communications.(Citation: Unit 42 QUADAGENT July 2018)

Enterprise T1059 .001 Command and Scripting Interpreter: PowerShell

QUADAGENT uses PowerShell scripts for execution.(Citation: Unit 42 QUADAGENT July 2018)
.003 Command and Scripting Interpreter: Windows Command Shell

QUADAGENT uses cmd.exe to execute scripts and commands on the victim’s machine.(Citation: Unit 42 QUADAGENT July 2018)

.005 Command and Scripting Interpreter: Visual Basic

QUADAGENT uses VBScripts.(Citation: Unit 42 QUADAGENT July 2018)

Enterprise T1132 .001 Data Encoding: Standard Encoding

QUADAGENT encodes C2 communications with base64.(Citation: Unit 42 QUADAGENT July 2018)
Enterprise T1070 .004 Indicator Removal: File Deletion

QUADAGENT has a command to delete its Registry key and scheduled task.(Citation: Unit 42 QUADAGENT July 2018)
Enterprise T1036 .005 Masquerading: Match Legitimate Name or Location

QUADAGENT used the PowerShell filenames Office365DCOMCheck.ps1 and SystemDiskClean.ps1.(Citation: Unit 42 QUADAGENT July 2018)
Enterprise T1027 .010 Obfuscated Files or Information: Command Obfuscation

QUADAGENT was likely obfuscated using `Invoke-Obfuscation`.(Citation: Unit 42 QUADAGENT July 2018)(Citation: GitHub Invoke-Obfuscation)
.011 Obfuscated Files or Information: Fileless Storage

QUADAGENT stores a session identifier unique to the compromised system as well as a pre-shared key used for encrypting and decrypting C2 communications within a Registry key (such as `HKCU\Office365DCOMCheck`) in the `HKCU` hive.(Citation: Unit 42 QUADAGENT July 2018)

Enterprise T1053 .005 Scheduled Task/Job: Scheduled Task

QUADAGENT creates a scheduled task to maintain persistence on the victim’s machine.(Citation: Unit 42 QUADAGENT July 2018)

Groups That Use This Software
ID Name References
G0049 OilRig

(Citation: Unit 42 QUADAGENT July 2018)

References

  1. Lee, B., Falcone, R. (2018, July 25). OilRig Targets Technology Service Provider and Government Agency with QUADAGENT. Retrieved August 9, 2018.
  2. Bohannon, D.. (2017, March 13). Invoke-Obfuscation - PowerShell Obfuscator. Retrieved June 18, 2017.
Навигация

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.