Royal_APT

Royal APT - APT15 - Informações relacionadas da pesquisa de operações de defesa cibernética do NCC Group

Ferramenta Sharepoint

Entre as ferramentas desenvolvidas pelo grupo para a vítima, a APT15 criou uma ferramenta .net para enumerar o banco de dados sharepoint da vítima. Abaixo está uma captura de tela do binário descompilado.

Scripts de decodificação

Os scripts decodificadores para as amostras BS2005 e RoyalCLI encontradas pelo NCC Group podem ser encontrados no diretório scripts.

BS2005

O bs_decoder.py extrairá e descriptografará comandos incluídos em arquivos html enviados para a amostra 6ea9cc475d41ca07fa206eb84b10cf2bbd2392366890de5ae67241afa2f4269f; a saber, Alive.htm e Contents.htm. Ele também decodificará beacons enviados ao C2.

Uso:

bs2005_decoder.py html <htmlPath>/<htmlsDir>

bs2005_decoder.py beacon <beaconString>

RoyalCLI

rcli_decoder.py decodificará a configuração do RoyalCli, os comandos html do RoyalCli e os uris.

Uso:

royalcli_decoder.py html <htmlPath>/<htmlsDir>

royalcli_decoder.py cfg <configPath>

royalcli_decoder.py uri <beaconString> `

Assinaturas Yara

As assinaturas Yara para as amostras RoyalCLI, RoyalDNS e BS2005 encontradas pelo NCC Group podem ser encontradas em apt15.yara na pasta signatures.

Assinaturas Suricata

As assinaturas Suricata para as amostras RoyalCLI, RoyalDNS e BS2005 encontradas pelo NCC Group podem ser encontradas em ids_signatures_apt15_royal.txt na pasta signatures.