nccgroup/royal_aptRoyal APT - APT15 - NCC Group Cyber Defense Operations Researchからの関連情報
Royal APT - APT15 - NCC Group Cyber Defense Operations Research からの関連情報
グループが被害者向けに開発したツールの中でも、APT15 は被害者の Sharepoint データベースを列挙する .net ツールを作成しました。以下は、逆コンパイルされたバイナリからのスクリーンショットです。
NCC Group が発見した BS2005 および RoyalCLI サンプル用のデコードスクリプトは、scripts ディレクトリにあります。
bs_decoder.py は、サンプル 6ea9cc475d41ca07fa206eb84b10cf2bbd2392366890de5ae67241afa2f4269f に送信された html ファイル（具体的には Alive.htm と Contents.htm）に含まれるコマンドを抽出して復号します。また、C2 に送信されたビーコンもデコードします。
使用方法:
bs2005_decoder.py html <htmlPath>/<htmlsDir>
bs2005_decoder.py beacon <beaconString>
rcli_decoder.py は、RoyalCli の設定、RoyalCli の html コマンド、および URI をデコードします。
使用方法:
royalcli_decoder.py html <htmlPath>/<htmlsDir>
royalcli_decoder.py cfg <configPath>
royalcli_decoder.py uri <beaconString>
`
NCC Group が発見した RoyalCLI、RoyalDNS、および BS2005 サンプル用の Yara シグネチャは、signatures フォルダ内の apt15.yara にあります。
NCC Group が発見した RoyalCLI、RoyalDNS、および BS2005 サンプル用の Suricata シグネチャは、signatures フォルダ内の ids_signatures_apt15_royal.txt にあります。
