Royal_APT

Royal APT - APT15 - معلومات ذات صلة من أبحاث NCC Group Cyber Defense Operations

أداة SharePoint

من بين الأدوات التي طوّرتها المجموعة للضحية، أنشأت APT15 أداة .net لتعداد قاعدة بيانات SharePoint الخاصة بالضحية. فيما يلي لقطة شاشة من الثنائي المفكك.

نصوص فك التشفير

يمكن العثور على نصوص فك التشفير لعينات BS2005 وRoyalCLI التي عثرت عليها NCC Group في مجلد scripts.

BS2005

يقوم bs_decoder.py باستخراج وفك تشفير الأوامر المضمنة في ملفات html المرسلة إلى العينة 6ea9cc475d41ca07fa206eb84b10cf2bbd2392366890de5ae67241afa2f4269f؛ أي Alive.htm وContents.htm. كما يقوم أيضًا بفك تشفير إشارات beacon المرسلة إلى C2.

الاستخدام:

bs2005_decoder.py html <htmlPath>/<htmlsDir>

bs2005_decoder.py beacon <beaconString>

RoyalCLI

يقوم rcli_decoder.py بفك تشفير إعدادات RoyalCli وأوامر RoyalCli html وعناوين uri.

الاستخدام:

royalcli_decoder.py html <htmlPath>/<htmlsDir>

royalcli_decoder.py cfg <configPath>

royalcli_decoder.py uri <beaconString> `

توقيعات Yara

يمكن العثور على توقيعات Yara لعينات RoyalCLI وRoyalDNS وBS2005 التي عثرت عليها NCC Group في apt15.yara داخل مجلد signatures.

توقيعات Suricata

يمكن العثور على توقيعات Suricata لعينات RoyalCLI وRoyalDNS وBS2005 التي عثرت عليها NCC Group في ids_signatures_apt15_royal.txt داخل مجلد signatures.