Royal_APT

Royal APT - APT15 - Связанная информация из исследований NCC Group Cyber Defense Operations

Инструмент Sharepoint

Среди инструментов, разработанных группой для жертвы, APT15 создала .net-инструмент для перечисления базы данных SharePoint жертвы. Ниже приведён снимок экрана из декомпилированного бинарного файла.

Скрипты декодирования

Скрипты-декодеры для образцов BS2005 и RoyalCLI, обнаруженных NCC Group, можно найти в каталоге scripts.

BS2005

bs_decoder.py извлечёт и расшифрует команды, содержащиеся в html-файлах, отправленных образцу 6ea9cc475d41ca07fa206eb84b10cf2bbd2392366890de5ae67241afa2f4269f; а именно Alive.htm и Contents.htm. Он также декодирует beacon-запросы, отправляемые на C2.

Использование:

bs2005_decoder.py html <htmlPath>/<htmlsDir>

bs2005_decoder.py beacon <beaconString>

RoyalCLI

rcli_decoder.py декодирует конфиг RoyalCli, html-команды RoyalCli и uri.

Использование:

royalcli_decoder.py html <htmlPath>/<htmlsDir>

royalcli_decoder.py cfg <configPath>

royalcli_decoder.py uri <beaconString> `

Yara-сигнатуры

Yara-сигнатуры для образцов RoyalCLI, RoyalDNS и BS2005, обнаруженных NCC Group, можно найти в файле apt15.yara в каталоге signatures.

Сигнатуры Suricata

Сигнатуры Suricata для образцов RoyalCLI, RoyalDNS и BS2005, обнаруженных NCC Group, можно найти в файле ids_signatures_apt15_royal.txt в каталоге signatures.