Royal_APT

Royal APT - APT15 - Información relacionada de NCC Group Cyber Defense Operations Research

Herramienta Sharepoint

Entre las herramientas desarrolladas por el grupo para la víctima, APT15 creó una herramienta .net para enumerar la base de datos sharepoint de la víctima. A continuación se muestra una captura de pantalla del binario descompilado.

Scripts de descifrado

Los scripts de descifrado para las muestras de BS2005 y RoyalCLI encontradas por NCC Group se pueden encontrar en el directorio scripts.

BS2005

bs_decoder.py extraerá y descifrará los comandos incluidos en los archivos html enviados a la muestra 6ea9cc475d41ca07fa206eb84b10cf2bbd2392366890de5ae67241afa2f4269f; concretamente Alive.htm y Contents.htm. También decodificará los beacons enviados al C2.

Uso:

bs2005_decoder.py html <htmlPath>/<htmlsDir>

bs2005_decoder.py beacon <beaconString>

RoyalCLI

rcli_decoder.py decodificará la configuración de RoyalCli, los comandos html de RoyalCli y las uris.

Uso:

royalcli_decoder.py html <htmlPath>/<htmlsDir>

royalcli_decoder.py cfg <configPath>

royalcli_decoder.py uri <beaconString> `

Firmas Yara

Las firmas Yara para las muestras de RoyalCLI, RoyalDNS y BS2005 encontradas por NCC Group se pueden encontrar en apt15.yara en la carpeta signatures.

Firmas Suricata

Las firmas Suricata para las muestras de RoyalCLI, RoyalDNS y BS2005 encontradas por NCC Group se pueden encontrar en ids_signatures_apt15_royal.txt en la carpeta signatures.