nccgroup/royal_aptरॉयल एपीटी - एपीटी15 - एनसीसी ग्रुप साइबर डिफेंस ऑपरेशंस रिसर्च से संबंधित जानकारी
Royal APT - APT15 - NCC Group साइबर डिफेंस ऑपरेशंस रिसर्च से संबंधित जानकारी
समूह द्वारा पीड़ित के लिए विकसित किए गए टूलों में से, APT15 ने पीड़ित के SharePoint डेटाबेस को एन्यूमरेट करने के लिए एक .net टूल बनाया। नीचे डीकंपाइल की गई बाइनरी का एक स्क्रीन-शॉट दिया गया है।
NCC Group द्वारा पाए गए BS2005 और RoyalCLI सैंपलों के लिए डिकोडर स्क्रिप्ट scripts डायरेक्टरी में पाई जा सकती हैं।
bs_decoder.py सैंपल 6ea9cc475d41ca07fa206eb84b10cf2bbd2392366890de5ae67241afa2f4269f को भेजी गई html फाइलों में शामिल कमांड्स को निकालेगा और डिक्रिप्ट करेगा; जिनके नाम Alive.htm और Contents.htm हैं। यह C2 को भेजे गए बीकन्स को भी डिकोड करेगा।
उपयोग:
bs2005_decoder.py html <htmlPath>/<htmlsDir>
bs2005_decoder.py beacon <beaconString>
rcli_decoder.py RoyalCli कॉन्फ़िग, RoyalCli html कमांड्स और uris को डिकोड करेगा।
उपयोग:
royalcli_decoder.py html <htmlPath>/<htmlsDir>
royalcli_decoder.py cfg <configPath>
royalcli_decoder.py uri <beaconString>
`
NCC Group द्वारा पाए गए RoyalCLI, RoyalDNS और BS2005 सैंपलों के लिए Yara सिग्नेचर signatures फोल्डर में apt15.yara में पाए जा सकते हैं।
NCC Group द्वारा पाए गए RoyalCLI, RoyalDNS और BS2005 सैंपलों के लिए Suricata सिग्नेचर signatures फोल्डर में ids_signatures_apt15_royal.txt में पाए जा सकते हैं।
