Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Вход Регистрация
MITRE ATT&CK - Инструмент FatDuke
Каталоги
MITRE ATT&CK
БДУ ФСТЭК
Новая БДУ ФСТЭК
Риски
Каталоги
MITRE ATT&CK
Инструмент
FatDuke
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал

FatDuke

FatDuke is a backdoor used by APT29 since at least 2016.(Citation: ESET Dukes October 2019)
ID: S0512
Type: MALWARE
Platforms: Windows
Version: 1.1
Created: 24 Sep 2020
Last Modified: 16 Oct 2021

Techniques Used
Domain ID Name Use
Enterprise T1071 .001 Application Layer Protocol: Web Protocols

FatDuke can be controlled via a custom C2 protocol over HTTP.(Citation: ESET Dukes October 2019)
Enterprise T1547 .001 Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder

FatDuke has used HKLM\SOFTWARE\Microsoft\CurrentVersion\Run to establish persistence.(Citation: ESET Dukes October 2019)
Enterprise T1059 .001 Command and Scripting Interpreter: PowerShell

FatDuke has the ability to execute PowerShell scripts.(Citation: ESET Dukes October 2019)
Enterprise T1573 .001 Encrypted Channel: Symmetric Cryptography

FatDuke can AES encrypt C2 communications.(Citation: ESET Dukes October 2019)
Enterprise T1070 .004 Indicator Removal: File Deletion

FatDuke can secure delete its DLL.(Citation: ESET Dukes October 2019)
Enterprise T1027 .001 Obfuscated Files or Information: Binary Padding

FatDuke has been packed with junk code and strings.(Citation: ESET Dukes October 2019)
.002 Obfuscated Files or Information: Software Packing

FatDuke has been regularly repacked by its operators to create large binaries and evade detection.(Citation: ESET Dukes October 2019)

Enterprise T1090 .001 Proxy: Internal Proxy

FatDuke can used pipes to connect machines with restricted internet access to remote machines via other infected hosts.(Citation: ESET Dukes October 2019)
Enterprise T1218 .011 System Binary Proxy Execution: Rundll32

FatDuke can execute via rundll32.(Citation: ESET Dukes October 2019)
Enterprise T1497 .003 Virtualization/Sandbox Evasion: Time Based Evasion

FatDuke can turn itself on or off at random intervals.(Citation: ESET Dukes October 2019)

Groups That Use This Software
ID Name References
G0016 APT29

(Citation: ESET Dukes October 2019) (Citation: Secureworks IRON HEMLOCK Profile)

References

  1. Faou, M., Tartare, M., Dupuy, T. (2019, October). OPERATION GHOST. Retrieved September 23, 2020.
  2. Secureworks CTU. (n.d.). IRON HEMLOCK. Retrieved February 22, 2022.
Навигация

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.