nccgroup/royal_aptRoyal APT - APT15 - Related Information from NCC Group Cyber Defense Operations Research
Royal APT - APT15 - معلومات ذات صلة من أبحاث NCC Group Cyber Defense Operations
من بين الأدوات التي طوّرتها المجموعة للضحية، أنشأت APT15 أداة .net لتعداد قاعدة بيانات SharePoint الخاصة بالضحية. فيما يلي لقطة شاشة من الثنائي المفكك.
يمكن العثور على نصوص فك التشفير لعينات BS2005 وRoyalCLI التي عثرت عليها NCC Group في مجلد scripts.
يقوم bs_decoder.py باستخراج وفك تشفير الأوامر المضمنة في ملفات html المرسلة إلى العينة 6ea9cc475d41ca07fa206eb84b10cf2bbd2392366890de5ae67241afa2f4269f؛ أي Alive.htm وContents.htm. كما يقوم أيضًا بفك تشفير إشارات beacon المرسلة إلى C2.
الاستخدام:
bs2005_decoder.py html <htmlPath>/<htmlsDir>
bs2005_decoder.py beacon <beaconString>
يقوم rcli_decoder.py بفك تشفير إعدادات RoyalCli وأوامر RoyalCli html وعناوين uri.
الاستخدام:
royalcli_decoder.py html <htmlPath>/<htmlsDir>
royalcli_decoder.py cfg <configPath>
royalcli_decoder.py uri <beaconString>
`
يمكن العثور على توقيعات Yara لعينات RoyalCLI وRoyalDNS وBS2005 التي عثرت عليها NCC Group في apt15.yara داخل مجلد signatures.
يمكن العثور على توقيعات Suricata لعينات RoyalCLI وRoyalDNS وBS2005 التي عثرت عليها NCC Group في ids_signatures_apt15_royal.txt داخل مجلد signatures.
