Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Вход Регистрация
MITRE ATT&CK - Инструмент LiteDuke
Каталоги
MITRE ATT&CK
БДУ ФСТЭК
Новая БДУ ФСТЭК
Риски
Каталоги
MITRE ATT&CK
Инструмент
LiteDuke
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал

LiteDuke

LiteDuke is a third stage backdoor that was used by APT29, primarily in 2014-2015. LiteDuke used the same dropper as PolyglotDuke, and was found on machines also compromised by MiniDuke.(Citation: ESET Dukes October 2019)
ID: S0513
Type: MALWARE
Platforms: Windows
Version: 1.0
Created: 24 Sep 2020
Last Modified: 04 Oct 2021

Techniques Used
Domain ID Name Use
Enterprise T1071 .001 Application Layer Protocol: Web Protocols

LiteDuke can use HTTP GET requests in C2 communications.(Citation: ESET Dukes October 2019)
Enterprise T1547 .001 Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder

LiteDuke can create persistence by adding a shortcut in the CurrentVersion\Run Registry key.(Citation: ESET Dukes October 2019)
Enterprise T1070 .004 Indicator Removal: File Deletion

LiteDuke can securely delete files by first writing random data to the file.(Citation: ESET Dukes October 2019)
Enterprise T1027 .002 Obfuscated Files or Information: Software Packing

LiteDuke has been packed with multiple layers of encryption.(Citation: ESET Dukes October 2019)
.003 Obfuscated Files or Information: Steganography

LiteDuke has used image files to hide its loader component.(Citation: ESET Dukes October 2019)

Enterprise T1518 .001 Software Discovery: Security Software Discovery

LiteDuke has the ability to check for the presence of Kaspersky security software.(Citation: ESET Dukes October 2019)
Enterprise T1497 .003 Virtualization/Sandbox Evasion: Time Based Evasion

LiteDuke can wait 30 seconds before executing additional code if security software is detected.(Citation: ESET Dukes October 2019)

Groups That Use This Software
ID Name References
G0016 APT29

(Citation: ESET Dukes October 2019) (Citation: Secureworks IRON HEMLOCK Profile)

References

  1. Faou, M., Tartare, M., Dupuy, T. (2019, October). OPERATION GHOST. Retrieved September 23, 2020.
  2. Secureworks CTU. (n.d.). IRON HEMLOCK. Retrieved February 22, 2022.
Навигация

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.