Nella rassegna di questa settimana, CTI esamina un recente attacco ransomware di tipo BianLian che ha sfruttato alcune vulnerabilità note presenti nel software TeamCity di JetBrains. Successivamente, CTI analizza come gli attacchi ransomware continuino a verificarsi a un ritmo sostenuto, nonostante si sia registrata una leggera diminuzione nel quarto trimestre del 2023.
Infine, CTI presenta i risultati principali dell’ultimo rapporto di GitGuardians intitolato “State of Secrets Sprawl”.
1. Gli autori delle minacce del gruppo BianLian sfruttano le vulnerabilità di JetBrains TeamCity
L’operazione ransomware “ ” (BianLian) sta ora sfruttando vulnerabilità note nel software JetBrains TeamCity per sferrare attacchi a scopo esclusivamente estorsivo. Gli ultimi attacchi sono iniziati sfruttando tali vulnerabilità e si sono conclusi con l’implementazione di una versione “ PowerShell ” della backdoor di BianLian.
BrianLian - Accesso iniziale
BianLian è riuscito ad accedere all’ambiente della vittima tramite un server TeamCity vulnerabile, sfruttando le vulnerabilità descritte in “ ” ai punti CVE-2024-27198 e CVE-2024-42793.
Il gruppo ha creato degli utenti in TeamCity e ha eseguito comandi dannosi utilizzando l'account di servizio del prodotto. Dopo aver ottenuto l'accesso iniziale, l'autore dell'attacco ha utilizzato i comandi nativi di Windows per identificare ulteriori componenti dell'infrastruttura. Ciò ha permesso loro di individuare due server di compilazione che rappresentavano validi candidati per ulteriori attacchi.
I file winpty-agent.exe e winpty.dll sono stati utilizzati per eseguire comandi in remoto su questi server, con conseguente installazione di ulteriori strumenti. Uno di questi strumenti aggiuntivi implementati era uno script PowerShell, web.ps1. Sono stati inoltre implementati altri strumenti necessari per comunicare con il server C2 e strumenti per l'estrazione delle credenziali.
Passaggio a PowerShell
L'autore dell'attacco ha tentato più volte di eseguire la backdoor Go che utilizza abitualmente, fallendo ogni volta. Dopo diversi tentativi falliti, l’autore dell’attacco ha deciso di passare a un’implementazione “ PowerShell ” della backdoor, che funzionava in modo molto simile alla sua tradizionale backdoor in Go.
Dopo aver deobfuscato lo script PowerShell , GuidePoint è riuscita ad analizzarlo. Una delle componenti dello script è la funzione `cakes`, che è stata utilizzata per risolvere un indirizzo IP in base al valore fornito come parametro. Una volta confermato l'indirizzo IP, esso viene utilizzato per stabilire un socket TCP ai fini della comunicazione.
Era presente anche una funzione relativa ai cookie, utilizzata per la maggior parte delle operazioni di gestione delle connessioni di rete e per alcune operazioni eseguite dalla backdoor stessa. A questo punto, i ricercatori sono riusciti a stabilire che lo scopo della backdoor è quello di consentire a un aggressore remoto di eseguire operazioni in modo arbitrario e in maniera simile a quanto avviene con la variante Go.
Il responsabile: BianLian
GuidePoint ha attribuito questo attacco a BianLian sulla base dell’ultima riga dello script PowerShell , che rivelava la chiamata alla funzione "cookies" con parametri specifici.
Una volta effettuata la conversione, è emerso un indirizzo IP. Questo indirizzo IP era stato precedentemente associato a un server su cui era in esecuzione una backdoor BianLian Go, come risulta da un rapporto recente pubblicato su 6 marzo 2024.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Non è la prima volta che riportiamo notizie su BianLian. È noto che BianLian utilizzi backdoor personalizzate scritte in Go, adattate su misura a ciascuna vittima, il che dimostra la loro notevole capacità di adattamento. Questo ultimo attacco dimostra ulteriormente la loro capacità di adattamento, poiché sono stati in grado di passare rapidamente a una tecnica di tipo “ PowerShell ” / “LotL” dopo aver constatato che la backdoor “Go” pianificata non aveva avuto successo.
Come dimostra questo esempio, gli autori delle minacce stanno dimostrando sempre più la loro capacità di stare al passo con gli ambienti in continua evoluzione, soprattutto per quanto riguarda le nuove vulnerabilità.
2. Gli attacchi ransomware continuano ad aumentare
Secondo Symantec, gli attacchi del ransomware “ ” continuano a verificarsi a un ritmo sostenuto, nonostante il leggero calo registrato nel quarto trimestre del 2023.
Le ultime ricerche indicano che gli autori degli attacchi ransomware stanno migliorando la propria capacità di adattare e perfezionare le proprie TTP per far fronte alle interferenze da parte delle forze dell’ordine. I dati indicano che lo sfruttamento delle vulnerabilità rappresenta ormai il principale vettore di infezione per gli attacchi ransomware.
Principali risultati emersi dal rapporto di Symantec
In base all’analisi condotta da Symantec sui siti di divulgazione di dati rubati tramite ransomware, nel 2023 si sono registrate circa 4.700 vittime di ransomware, mentre nel 2022 le vittime sono state 2.800 . Sebbene nell’ultimo trimestre del 2023 si sia registrato un leggero calo degli attacchi, nel complesso il loro numero è rimasto comunque in aumento rispetto agli anni precedenti.
Una delle ragioni alla base di tale aumento è il fatto che gli autori degli attacchi ransomware stanno adattando strategicamente le proprie tattiche, tecniche e procedure (TTP) per far fronte a vari ostacoli e interventi di contrasto e portare avanti i propri obiettivi.
Symantec rileva una discrepanza tra il numero di vittime dichiarato sui siti di divulgazione di ransomware e l’effettiva attività di ransomware oggetto delle proprie indagini. Sulla base dei dati raccolti, l’autore degli attacchi ransomware Noberus è risultato responsabile di una percentuale maggiore di attacchi.
Principali vettori di diffusione del ransomware
Gli autori delle minacce stanno ricorrendo allo sfruttamento delle vulnerabilità come mezzo per ottenere l’accesso iniziale negli attacchi ransomware.
Tra le vulnerabilità più sfruttate lo scorso anno, che hanno portato ad attacchi ransomware, figurano:
- CVE-2022-47966 "": ZOHO ManageEngine
- Varie vulnerabilità dei server Microsoft e Exchange
- CVE-2023-2966: Citrix NetScaler ADC e NetScaler Gateway
- CVE-2023-20269: VPN Cisco ASA e Cisco FTD
Attrezzature
Gli autori delle minacce stanno ampliando il proprio arsenale per includervi strumenti personalizzati e a duplice uso, al fine di eludere il rilevamento. Gli autori di ransomware stanno inoltre orientandosi sempre più spesso verso l’utilizzo della tecnica “Bring Your Own Vulnerable Driver” (BYOVD).
Tra gli strumenti utilizzati nei recenti attacchi ransomware figurano:
- HopToDesk: uno strumento di accesso remoto al desktop disponibile al pubblico. Anche AnyDesk e Atera sono strumenti comunemente utilizzati.
- TrueSightKiller: uno strumento disponibile al pubblico che utilizza la tecnica BYOVD e disattiva i software di sicurezza.
- di GhostDriver: uno strumento che utilizza la tecnica BYOVD e disattiva l’antivirus.
- StealBit: uno strumento personalizzato per l’esfiltrazione dei dati; associato a LockBit.
Tecniche
Symantec ha menzionato due tecniche degne di nota che vengono attualmente utilizzate negli attacchi ransomware.
- Il primo è esentutl, che prevede il dumping delle credenziali tramite uno strumento da riga di comando denominato “ Windows ”. Questa tecnica viene ora utilizzata per estrarre le credenziali dai browser.
- L’altra tecnica consiste nell’utilizzo di strumenti dannosi per ottenere e decriptare le credenziali degli utenti archiviate tramite l’API per la protezione dei dati di Microsoft.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il ransomware non scomparirà tanto presto. Sebbene gli interventi delle forze dell’ordine possano determinare un calo temporaneo degli attacchi ransomware, ciò non è sufficiente a ridurre la minaccia rappresentata dagli autori di tali attacchi.
Con ciò non si intende dire che gli sforzi delle forze dell’ordine siano una perdita di tempo. Spesso danneggiano la reputazione e/o l’infrastruttura dell’autore dell’attacco. Inoltre, la grande quantità di notizie pubbliche relative a vari attacchi ransomware, pur essendo utile per chi si occupa di difesa, non fa altro che spingere gli autori delle minacce a cercare nuove tecniche, da cui deriva la loro capacità di cambiare rapidamente strategia e adattarsi.
3. Oltre 12 milioni di segreti e chiavi sono trapelati su GitHub
Secondo il rapporto “State of Secrets Sprawl” di GitGuardian, oltre 12,8 milioni di credenziali di autenticazione e dati sensibili presenti in 3 milioni di repository pubblici sono stati resi pubblici dagli utenti di GitHub nel corso del 2023.
Tra i dati compromessi figurano password degli account, chiavi API, certificati TLS/SSL , chiavi di crittografia, credenziali per servizi cloud, token OAuth e altri dati. Inoltre, la maggior parte dei segreti e delle chiavi era ancora valida cinque giorni dopo aver appreso della fuga di notizie.
Risultati degni di nota
Le credenziali hardcoded rappresentano da tempo una delle cause principali degli incidenti di sicurezza. GitGuardian monitora e segnala le informazioni riservate hard-coded sin dal 2020, rilevando un aumento del 28% delle informazioni riservate individuate su GitHub dal 2022 al 2023.
I ricercatori hanno inoltre riscontrato che il 90% delle chiavi segrete valide esposte rimane attivo per cinque giorni dopo che l’autore ha ricevuto una notifica. Lo scorso anno GitGuardian ha inviato 1,8 milioni di avvisi via e-mail relativi all’individuazione di una chiave segreta esposta, di cui solo 33.242 sono state revocate entro cinque giorni. Questa statistica sottolinea il fatto che la correzione dei problemi è altrettanto importante, se non di più, rispetto all’individuazione di tali attività.
GitGuardian ha analizzato ulteriormente i propri dati per individuare i paesi e i settori in cui si sono verificate le maggiori fughe di dati. L’India è stato il Paese in cui si sono verificati il maggior numero di fughe di notizie, seguito dagli Stati Uniti e dal Brasile. Il settore IT ha rappresentato il 65,9% delle fughe di informazioni.
I loro dati sono stati nuovamente suddivisi in segreti specifici e segreti generici, rilevando che i segreti specifici rappresentavano la maggioranza. Esaminando più da vicino questi specifici secret, sono stati individuati oltre un milione di secret validi per l’API di Google , 250.000 per Google Cloud e 140.000 per AWS IAM.
Cosa accade in seguito alla divulgazione di informazioni riservate?
Una volta che un segreto è trapelato, è fondamentale che venga rapidamente revocato per evitare ulteriori ripercussioni. Come già osservato, oltre il 90% delle credenziali individuate da GitGuardian risultava ancora valido diversi giorni dopo. Inoltre, solo il 2,6% delle chiavi segrete è stato revocato entro un’ora dall’invio dell’e-mail di notifica.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È sconcertante apprendere che oltre il 90% dei segreti fosse ancora valido cinque giorni dopo la notifica della loro divulgazione accidentale.
Questa ricerca non solo fornisce alcune statistiche sbalorditive, ma mette anche in evidenza che i grandi sforzi profusi in materia di individuazione semplicemente non sono sufficienti. Le attività di individuazione non hanno grande rilevanza se il team incaricato della correzione non riceve una guida adeguata e non dispone delle conoscenze necessarie per risolvere gli errori.
Ora più che mai, è fondamentale essere in grado di rispondere alla domanda su cosa accada in seguito alla divulgazione di informazioni riservate — o su cosa accada una volta individuato un qualsiasi incidente di sicurezza specifico.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
