Questa settimana, CTI analizza APT41’s casi recenti di utilizzo del sistema di comando e controllo “ Google” (GC2) nel corso delle proprie operazioni, evidenziando un costante aumento nell’uso di strumenti disponibili pubblicamente da parte di APT legate alla Cina. Si passa ora a una panoramica su un nuovo strumento di elusione dei sistemi di difesa — denominato AuKill — che consente agli autori delle minacce di disattivare le soluzioni di rilevamento e risposta agli attacchi di tipo “ endpoint ” (EDR) prima di distribuire backdoor e ransomware. Per concludere, CTI analizza un nuovo rapporto che illustra in dettaglio la vera causa alla base della grave violazione della catena di approvvigionamento che, a partire dal mese di marzo, ha iniziato a avere ripercussioni sull’onnipresente applicazione desktop 3CX e sui suoi utenti.
Gli hacker sfruttano lo strumento “red team” di comando e controllo “ Google ” per sferrare attacchi
Google Il rapporto “Threat Horizons” di Cloud’ , 2023 (si apre in una nuova scheda) rivela che il gruppo di spionaggio cinese APT41 , sostenuto dallo Stato, sta ora sfruttando in modo improprio lo strumento di red teaming GC2 di Google nei propri attacchi.
GC2 è un progetto open source scritto in Go, progettato specificamente per le attività del red team. Il Threat Analysis Group (TAG) di Google ha sventato APT41’s l’ultimo attacco di phishing, nel corso del quale gli autori hanno tentato di diffondere l’agente GC2 nell’ambito di un più ampio abuso dell’infrastruttura di Google.
APT41 (si apre in una nuova scheda) — noto anche come Wicked Panda e HOODOO — è occasionalmente coinvolto in operazioni a scopo di lucro. Il gruppo è attivo almeno dal 2007 e diversi suoi membri sono stati incriminati dal Dipartimento di Giustizia degli Stati Uniti. Il gruppo ha storicamente preso di mira organizzazioni governative e private negli Stati Uniti, a Taiwan, in India, in Thailandia, in Cina, a Hong Kong, in Mongolia e in altri paesi. Il gruppo APT41 è noto anche per la sua capacità di sfruttare le vulnerabilità, in particolare per quanto riguarda le applicazioni esposte ad attacchi di tipo “ SQL ”.
Dettagli della campagna
In “ ottobre 2022”, il TAG di Google ha sventato una campagna APT41 rivolta a un’organizzazione mediatica taiwanese tramite e-mail di phishing contenenti link a file protetti da password ospitati su Drive. Il payload di questa campagna era GC2, uno strumento open source utilizzato dai red team.
Questo strumento, scritto in Go, riceve i propri comandi da un foglio di calcol Google per nascondere la propria attività dannosa. I dati vengono quindi trasferiti su un'un Google . Una volta installato sul computer della vittima, il malware ha interrogato Google Sheets all’indirizzo Google per ricevere i propri comandi. Il malware GC2 consente inoltre all’autore dell’attacco di scaricare file aggiuntivi da Drive sul sistema della vittima. L'utilizzo di infrastrutture " Google " e di applicazioni collaborative aumenta la probabilità che il traffico dannoso passi in gran parte inosservato all'interno degli ambienti aziendali.
Google ha osservato che tale autore di minacce aveva già utilizzato un flusso di lavoro simile lo scorso anno per prendere di mira un sito web italiano dedicato alla ricerca di lavoro.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Il TAG diGoogle non ha reso noti molti dettagli su questa campagna, pertanto non vi sono molti elementi su cui basarsi in termini di indicatori di compromissione (IOC). Tuttavia, la campagna evidenzia un crescente ricorso, da parte di questo gruppo APT cinese, a strumenti disponibili pubblicamente come GC2.”
«Gli APT cinesi tendono a utilizzare e a condividere numerosi strumenti personalizzati nel corso dei propri attacchi.» Inoltre, apportano il proprio tocco personale alle versioni personalizzate di strumenti disponibili al pubblico. L’utilizzo di APT41’s su GC2 — presumibilmente nella sua versione originale, senza modifiche personalizzate — segna certamente una svolta verso l’adozione di strumenti disponibili al pubblico e pronti all’uso. Si tratta di una tattica volta a confondere gli sforzi di attribuzione, oppure di un vero e proprio cambiamento metodologico? “Solo il tempo potrà dirlo.”
Le bande di autori di ransomware sfruttano il driver di Process Explorer per disattivare i software di sicurezza
Un nuovo rapporto di Sophos analizza uno strumento di elusione delle difese denominato “AuKill” (si apre in una nuova scheda) , attualmente utilizzato dagli autori delle minacce per disattivare endpoint il software di rilevamento e risposta (EDR ) prima di distribuire backdoor e ransomware. Lo strumento sfrutta una versione obsoleta di Process Explorer ed è stato utilizzato in almeno tre episodi di ransomware quest'anno.
Secondo quanto riferito, Sophos avrebbe indagato su diversi episodi in cui l’autore dell’attacco ha tentato di disattivare i client di EDR tramite il nuovo strumento AuKill. Questo strumento sfrutta una versione obsoleta del driver utilizzato dalla versione 16,32 dell'utilità Process Explorer di Microsoft. Nei mesi di gennaio e febbraio, gli autori degli attacchi hanno diffuso il ransomware Medusa Locker dopo aver sfruttato AuKill. Nel mese di febbraio, è stato nuovamente rilevato che l’autore dell’attacco utilizzava AuKill prima di distribuire il ransomware LockBit.
Naturalmente, non è la prima volta che si osserva che alcuni autori di minacce utilizzano software progettato per disattivare gli agenti dell’ EDR . I team di ricerca sulla sicurezza di Microsoft, Mandiant, SentinelOne e Sophos hanno tutti già segnalato in precedenza attacchi che prevedevano l’utilizzo di driver personalizzati per disabilitare i prodotti EDR . Ciò che distingue questi recenti episodi dagli attacchi precedenti è il fatto che AuKill sfrutta un driver legittimo, ma obsoleto e vulnerabile.
Sophos ha raccolto sei diverse varianti del malware AuKill, riscontrando somiglianze tra AuKill e un altro strumento open source, Backstab, tra cui stringhe di debug che presentano caratteristiche apparentemente derivate e una logica di flusso del codice pressoché identica utilizzata per interagire con il driver. I ricercatori di Sophos ritengono che AuKill sia stato realizzato utilizzando diversi frammenti di codice tratti da Backstab.
Abuso legittimo dei driver e procexp.sys
Per aggirare le misure di sicurezza relative ai driver, gli autori delle minacce devono trovare un modo per ottenere la firma di un driver dannoso tramite un certificato affidabile/legittimo oppure scoprire come sfruttare in modo improprio un driver di software commerciale legittimo. Nelle campagne monitorate da Sophos, gli autori delle minacce hanno sfruttato un driver creato – e firmato – da Microsoft.
AuKill inserisce un driver denominato procexp.sys nel percorso C:\Windows\System32\drivers del computer. Il driver legittimo di Process Explorer si trova normalmente in questa stessa posizione e si chiama procexp152.sys. Entrambi i driver possono essere presenti su un computer su cui è in esecuzione una copia di Process Explorer. Il programma di installazione di AuKill inserisce inoltre una copia eseguibile di se stesso nella directory System32 o nella directory temp, che viene eseguita come servizio.
Per sfruttare questa vulnerabilità, l’autore dell’attacco deve disporre di privilegi amministrativi sul sistema. Tuttavia, i processi critici di Windows sono sottoposti a una protezione aggiuntiva per impedire agli autori delle minacce di disattivarli. Per aggirare tali funzionalità, gli autori delle minacce devono compiere un ulteriore passo avanti ed eseguire un driver in modalità kernel. In questo caso, AuKill ha sfruttato in modo improprio il driver legittimo alla base di Process Explorer per aggirare tali funzionalità.
È importante sottolineare che l’utilizzo di AuKill richiede che l’autore dell’attacco disponga di privilegi amministrativi, ma che il programma stesso non è in grado di conferirgli tali privilegi.
L’evoluzione del malware Aukill
Nel corso di alcuni mesi, Sophos ha raccolto sei versioni del malware AuKill e ha monitorato le modifiche apportate alle funzionalità tra una versione e l’altra. In particolare, sono stati modificati il compilatore e i componenti di sicurezza interessati.
Sophos si è concentrata principalmente sui campioni v1 e v6 , poiché questi sono stati rilevati con maggiore frequenza. Il campione V6 sembra, secondo i ricercatori di Sophos, essere una versione sperimentale. Il confronto tra queste due versioni offre ai ricercatori indicazioni sulle possibili direzioni che potrebbero prendere le versioni future.
- Fase 1: Installazione del servizio: una volta eseguito, il malware verifica se dispone dei privilegi di amministratore. Richiede inoltre che l’autore dell’attacco esegua il file indicando una parola chiave, o una sorta di password, come primo argomento della riga di comando; in caso contrario, l’esecuzione viene interrotta. AuKill avvia innanzitutto il servizio Trusted Installer, un componente del programma di installazione dei moduli di “ Windows ”. Successivamente, duplica il token di TrustedInstaller[.]exe e lo trasmette per elevare i propri privilegi a livello di SYSTEM al momento del riavvio del processo. Infine, si copia nella cartella C:\Windows\system32, si installa come servizio e avvia il servizio.
- Fase 2: Disattivazione delle misure di sicurezza: dopo aver garantito la persistenza tramite la creazione della voce di servizio, il file procexp.sys viene salvato sul disco. Il driver è integrato in AuKill come risorsa.
Per impedire il riavvio dei componenti dei client di EDR , AuKill avvia diversi thread per garantire che tali processi e servizi rimangano disabilitati. Ciascuno dei thread è dedicato a un componente diverso e li monitora costantemente per verificare se i processi o i servizi in questione siano in esecuzione; in caso affermativo, AuKill li disabiliterà o li terminerà.
AuKill dispone di quattro funzioni che utilizza per disabilitare i componenti di EDR : terminare tramite Procexp, terminare forzatamente, disabilitare i servizi e scaricare i driver. Nel proprio rapporto, Sophos illustra in dettaglio ciascuna di queste quattro funzioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Sebbene AuKill sembri costituire un precursore di ulteriori attività dannose e qualsiasi traccia di AuKill all’interno di una rete debba essere presa sul serio, è opportuno ricordare che AuKill non può essere eseguito se l’autore della minaccia non dispone già dei privilegi di amministratore. Ciononostante, il rilevamento dell’attività di AuKill all’interno di una rete indica probabilmente l’imminente diffusione di un altro carico utile pericoloso, come il ransomware LockBit; ciò dimostra quindi che AuKill può ancora rappresentare una grave minaccia.”
3CX casi di compromissione della catena di fornitura del software causati da una precedente compromissione della catena di fornitura del software
La società di sicurezza informatica Mandiant ha concluso che il vettore di infezione iniziale alla base del clamoroso attacco alla catena di fornitura 3CX , che a marzo ha colpito l’onnipresente software Desktop App di tale azienda, fosse un software dannoso scaricato da un sito web di terze parti sulla rete 3CX’s .
Mandiant osserva che questa è la prima volta che si riscontra come un attacco alla catena di approvvigionamento del software abbia portato a un altro attacco alla catena di approvvigionamento del software, in quello che può essere descritto solo come un incubo informatico in stile *Inception*, simile alle matrioske russe.
Ecco un ripasso, per gentile concessione di Mandiant:
Alla fine del marzo 2023, una violazione della catena di fornitura del software ha diffuso malware tramite una versione trojanizzata di 3CX’s software legittimi , disponibile per il download dal sito web . Il software interessato era la versione 3CX DesktopApp 18,12,416 e precedenti, che contenevano codice dannoso che eseguiva un downloader, SUDDENICON, il quale a sua volta riceveva ulteriori server di comando e controllo (C2) da file di icone crittografati ospitati su GitHub. Il server C2 decriptato è stato utilizzato per scaricare una terza fase identificata come ICONICSTEALER, un dataminer che sottrae informazioni dal browser.
Mandiant La società di consulenza afferma inoltre di aver individuato il vettore di intrusione iniziale grazie alle indagini in corso relative alla compromissione della catena di fornitura 3CX : Mandiant ha ricondotto l’intero incidente a un software infetto distribuito a 3CX nell’ambito di un attacco alla catena di fornitura del software che ha coinvolto un programma di installazione compromesso per X_TRADER, un pacchetto software legittimo fornito da Trading Technologies.
Mandiant ha accertato che un processo di caricamento piuttosto sofisticato ha portato, in ultima analisi, all’installazione del malware VEILEDSIGNAL (che Mandiant descrive come una “backdoor modulare a più fasi”) e dei relativi moduli di accompagnamento.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Mandiant attribuisce l’attività malevola sopra descritta al gruppo di minaccia identificato con il codice UNC4736 — un attore che, secondo Mandiant , con un grado moderato di certezza, sarebbe collegato all’attività di criminalità informatica nordcoreana a scopo di lucro denominata AppleJeus dalla CISA.”
“Ciò è confermato da quanto riportato dal TAG di Google, che ha segnalato la violazione del sito www.tradingtechnologies[.]com nell’articolo febbraio 2022, prima della distribuzione da parte del sito di aggiornamenti compromessi di X_TRADER. Sono evidenti ulteriori sovrapposizioni a livello di infrastrutture tra UNC4736 e APT43, un altro attore minaccioso nordcoreano per il quale il CTI mantiene attivo un profilo dell’attore minaccioso (TAP).”
“Come sottolineato da Mandiant , il gruppo APT43 prende spesso di mira gli utenti di criptovalute e i servizi correlati, il che evidenzia come tali campagne siano molto diffuse tra gli operatori informatici legati alla Corea del Nord.”
«È significativo che alcuni gruppi sostenuti dallo Stato nordcoreano possano essere responsabili del primo attacco alla catena di approvvigionamento del software che ha portato direttamente a un altro attacco alla catena di approvvigionamento del software. È inoltre probabile che, in passato, i ricercatori nel campo della sicurezza abbiano sottovalutato gli autori di minacce informatiche legati alla Repubblica Popolare Democratica di Corea. Questo episodio ci ricorda che il “Regno Eremita” rappresenta ancora una minaccia formidabile.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
