Nella rassegna di questa settimana, CTI analizza un rapporto dell’ Mandiant che rivela un’impennata degli attacchi che diffondono malware tramite unità “ USB ” nella prima metà del 2023 , tra cui due nuove campagne. A seguire, CTI esamina un rapporto secondo cui l’attività dei ransomware è destinata a superare i precedenti record quest’anno, con i ricercatori che rilevano un aumento generale del numero di pagamenti di riscatto andati a buon fine. Infine, CTI sta indagando su una variante di ransomware nota come Big Head.
1. USB Gli attacchi malware hanno registrato un’impennata nella prima metà del 2023
Secondo Mandiant, nella prima metà del 2023 si è registrato un triplicarsi del numero di attacchi che diffondevano malware tramite USB drive .
Il rapporto di Mandiant evidenzia inoltre due nuove campagne di malware diffuse tramite USBche hanno contribuito a tale picco, tra cui il malware SOGU e SNOWYDRIVE.
La SOGU si diffonde tramite USB
Mandiant Abbiamo scoperto per la prima volta questa campagna mentre cercavamo eventi sospetti di scrittura di file nelle directory che gli autori delle minacce utilizzano comunemente per archiviare malware, strumenti e utilità.
I ricercatori sottolineano che la campagna SOGU rappresenta «l’attacco di spionaggio informatico basato su “ USB” più diffuso, che utilizza chiavette USB di tipo “ USB ”, nonché una delle campagne di spionaggio informatico più aggressive rivolte a organizzazioni del settore pubblico e privato a livello globale, in tutti i settori industriali».
Questa campagna utilizza chiavette USB per caricare il malware SOGU e sottrarre informazioni dal dispositivo della vittima. Mandiant attribuisce questa campagna a TEMP.hex, un attore di spionaggio legato alla Cina, e ritiene che la campagna sia stata condotta per raccogliere informazioni a sostegno della sicurezza nazionale e degli interessi della Cina.
Secondo una ricerca condotta d Mandiant, tali attacchi rappresentano un rischio per un’ampia gamma di settori in Europa, Asia e Stati Uniti.
- Infezione iniziale: Il vettore di infezione iniziale è un'unità USB infetta. Questa chiavetta USB contiene diversi software dannosi progettati per caricare un payload dannoso in memoria tramite il dirottamento delle DLL.
- Punto d’appoggio stabilito: La catena di infezione è generalmente costituita da tre file, tra cui un eseguibile legittimo, un caricatore DLL dannoso e un payload crittografato.
Quando l'eseguibile legittimo viene eseguito, provvederà a caricare lateralmente un file DLL dannoso, noto come KORPLUG. Il malware KORPLUG carica quindi uno shellcode decriptato e lo esegue in memoria. Questo shellcode è una backdoor scritta in C e si chiama SOGU.
- Ricognizione e raccolta dei dati: Viene inserito un file batch nel cestino (recycle.bin) che eseguirà i comandi di ricognizione dell’host e salverà i risultati in un file denominato c3lzLmluZm8.
Il malware cercherà nell'unità C i file con determinate estensioni e crittograferà una copia di ciascun file, codificando l'originale prima di inserire i file crittografati nelle seguenti directory:
C:\Utenti\AppData\Roaming\Intel\
:\RECYCLER.BIN\\
- Persistenza: Il malware crea una cartella che si presenta come un programma legittimo e ne imposta l’attributo su “nascosta”. A quel punto copierà i suoi componenti principali in questa directory appena creata.
Inoltre, il malware creerà una chiave di registro "Run" con lo stesso nome della directory che ha creato in precedenza. In alcune varianti di SOGU, è stata creata un’ulteriore attività pianificata per eseguire il malware ogni 10 minuti, al fine di garantirne la persistenza.
- Esfiltrazione: Il malware provvederà a esfiltrare tutti i dati che sono stati raccolti durante l'ultima fase dell'attacco. Il malware può utilizzare HTTP, HTTPS, un protocollo binario personalizzato su TCP o UDP e ICMP per comunicare con il proprio server di comando e controllo (C2).
Supporta inoltre un’ampia gamma di comandi, tra cui il trasferimento di file, l’esecuzione di file, il desktop remoto, l’acquisizione di schermate, la shell inversa e il keylogging. Infine, questo malware è anche in grado di copiare se stesso su nuovi dispositivi rimovibili collegati a un dispositivo infetto, consentendogli potenzialmente di raccogliere dati da sistemi isolati (air-gapped).
L'infezione da malware SNOWYDRIVE, diffusa tramite USB , prende di mira le aziende del settore petrolifero e del gas in Asia
Anche questa campagna utilizza chiavette USB per diffondere il malware SNOWYDRIVE. Una volta caricato, il malware crea una backdoor nel sistema e consente all’autore della minaccia di impartire comandi di sistema da remoto.
Può inoltre diffondersi ad altre chiavette USB e propagarsi attraverso la rete. Mandiant ha attribuito questa campagna a UNC4698, un attore malintenzionato che in passato ha preso di mira il settore petrolifero e del gas in Asia.
Questo autore di minacce eseguirà i payload tramite il prompt dei comandi di Windows , utilizzerà dispositivi di memoria rimovibili, creerà directory di staging locali e modificherà il registro di Windows .
- Infezione iniziale: Anche in questo caso, il vettore di infezione iniziale di questa campagna è un dispositivo USB infetto. In questo caso, il malware induce la vittima a fare clic su un file dannoso che si presenta come un eseguibile legittimo. Quando la vittima fa clic su questo file, si innesca una serie di estensioni dannose.
- Creazione di un punto d’appoggio: L’infezione ha inizio con un file eseguibile che funge da dropper. Questo dropper ha il compito di scrivere file dannosi sul disco e successivamente di eseguirli.
I file crittografati contengono file eseguibili e DLL che vengono estratti e salvati nella directory C[:]\Users\Public\SymantecsThorvices\Bin. I file possono essere suddivisi in quattro componenti principali, ciascuno dei quali è costituito da un eseguibile legittimo e da una DLL dannosa.
- Comando e controllo: La backdoor basata su shellcode, denominata SNOWYDRIVE, genererà un identificatore univoco basato sul nome del sistema, sul nome utente e sul numero di serie del volume. Questo funge da identificativo univoco durante la comunicazione con il proprio server C2 , che solitamente è hardcoded nello shellcode.
- Persistenza: La campagna utilizza il seguente valore del Registro di sistema per la persistenza:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ushsguaei1hgba
- Movimento laterale: Il malware si copia quindi sulle unità rimovibili che vengono successivamente collegate al dispositivo infetto. Creerà la cartella “\Kaspersky\Usb Drive\3,0” ” sull’unità rimovibile e copierà i file crittografati che contengono i componenti dannosi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il recente aumento dei casi di malware diffuso tramite " USB" ci ricorda che, sebbene tali attacchi richiedano l’accesso fisico al dispositivo, presentano chiaramente dei vantaggi che li rendono ancora rilevanti nel panorama odierno.»
"La ricerca condotta daMandiant su queste campagne ha rivelato che le tipografie e gli alberghi locali sembrano fungere da punti nevralgici per le infezioni da malware di tipo ' USB ' — il che indica che tali attacchi sono ancora di natura piuttosto opportunistica."
2. I pagamenti per il ransomware registrano un’impennata nel 2023
Secondo un recente rapporto della società di analisi blockchain Chainalysis, l’attività dei ransomware è destinata a superare i record precedenti; i ricercatori hanno infatti osservato un aumento generale del numero di pagamenti di riscatto andati a buon fine, sia di importo elevato che modesto.
Il ransomware si distingue
Il rapporto rivela che il ransomware è l’unica categoria di reati legati alle criptovalute a registrare un aumento quest’anno, mentre tutte le altre hanno subito un forte calo — tra cui attacchi hacker, truffe, malware, vendita di materiale illecito, negozi fraudolenti e ricavi dei mercati del darknet.
Da un articolo di BleepingComputer sull'argomento:
"Il ransomware è l'unica forma di crimine legato all' e basato sulle criptovalute in aumento finora nel 2023", si legge nel rapporto di Chainalysis. "In effetti, gli autori degli attacchi ransomware sono sulla buona strada per registrare il secondo anno più redditizio di sempre, avendo estorto almeno 449,1 milioni di dollari fino a giugno."
Inoltre, il fatturato annuo cumulativo derivante dal ransomware per il 2023 ha raggiunto il 90% del totale del 2022 nella prima metà dell’anno.
Prospettive
The report claims that if the current revenue growth pace continues, ransomware actors will make just short of $900 million from victims in 2023, just below 2021's record figure of $940 million.
I ricercatori di Chainalysis sostengono che la forza trainante di questo forte aumento dei ricavi sia la “caccia grossa”, con bande di estorsori e famiglie di ransomware che prendono di mira attivamente grandi organizzazioni di alto valore in grado di pagare somme di denaro da record.
I leader del gruppo
Secondo Chainalysis, BlackBasta, LockBit, ALPHV/Blackcat e Cl0p sono in cima alla lista dei principali destinatari di pagamenti di importo elevato, con Cl0p che vanta un importo medio dei pagamenti pari a 1,7 milioni di dollari e un importo mediano pari a 1,9 milioni di dollari.
In particolare, Cl0p è responsabile di due imponenti ondate di attacchi che hanno sfruttato due vulnerabilità zero-day individuate in strumenti di trasferimento file: GoAnywhere di Fortra nel primo trimestre dell’anno, e MOVEit Transfer di Progress nel secondo.
Da BleepingComputer:
Infatti, la campagna “GoAnywhere” di Clop, che ha comportato 129 attacchi, ha reso il mese di marzo 2023 un mese da record, come riportato all’epoca da , secondo quanto riferito dall’NCC Group. L’ondata di attacchi MOVEit ha già assunto proporzioni più ampie, con 296 victims i registrati finora, e ogni settimana ne vengono resi noti altri sul sito di estorsione di Clop.
Inoltre, come spiega Chainalysis, «la tendenza alla crescita del H1 2023 si osserva anche all’altra estremità dello spettro, con piccoli pagamenti di riscatto effettuati a favore di operazioni opportunistiche di ransomware-as-a-service (RaaS) del tipo “spray-and-pray”, quali Dharma, Phobos e STOP/DJVU, che ricattano le vittime per poche centinaia di dollari».
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«È probabile che il calo annuale del numero di organizzazioni disposte a cedere alle richieste di estorsione abbia contribuito a spingere i criminali informatici a tornare a puntare alle prede più importanti, nonché a indurre gli autori delle minacce ad aumentare le loro richieste di riscatto.»
"Quest’ultimo è probabilmente un tentativo strategico da parte dei gruppi di estorsori e delle famiglie di ransomware di compensare le crescenti perdite finanziarie subite a causa delle aziende che si rifiutano di pagare."
3. Il ransomware Big Head visualizza un falso avviso di aggiornamento di Windows
Trend Micro ha recentemente analizzato in dettaglio una variante di ransomware nota come Big Head. Secondo quanto riferito, il ransomware si sta diffondendo tramite malvertising che promuove falsi aggiornamenti di Windows e falsi programmi di installazione di Word disponibili su Microsoft .
Il primo campione
Il primo campione di Big Head conteneva un file binario compilato in .NET. Il programma esegue una verifica tramite CreateMutex per verificare la presenza del mutex denominato “8bikfjjD4JpkkAqrz” e, qualora lo individuasse, si interromperà automaticamente.
Il campione conteneva inoltre un elenco di configurazioni con i dettagli relativi al processo di installazione. Esso specificava diverse azioni, tra cui la creazione di una chiave di registro, la verifica dell’esistenza di determinati file e la loro sovrascrittura, se necessario, l’impostazione degli attributi dei file di sistema e la creazione di una voce di registro per l’esecuzione automatica.
I ricercatori hanno rilevato l'esistenza di tre risorse, ovvero 1.exe, archive.exe e Xarch.exe. Il file 1.exe creerà una copia di se stesso per consentirne la diffusione. Archive.exe installerà un bot di Telegram incaricato di stabilire la comunicazione con l’ID del chatbot dell’autore della minaccia. Inoltre, Xarch.exe rilascerà un ransomware che crittograferà i file e mostrerà alla vittima un falso aggiornamento di Windows .
File binari
- 1.exe: Questo file nasconderà la finestra della console e creerà una chiave di registro di avvio automatico affinché venga eseguito automaticamente all'avvio. Inoltre, ne creerà una copia, che salverà con il nome discord.exe nella cartella <%localappdata%>.
Il ransomware Big Head verificherà quindi l’identità della vittima. Se esiste, ne leggerà il contenuto; in caso contrario, genererà una stringa casuale di 40 caratteri e la scriverà in un file come una sorta di marcatore di infezione per identificare le proprie vittime.
I ricercatori hanno inoltre osservato che il ransomware eliminava le proprie copie shadow e i backup prima di inserire la richiesta di riscatto sul desktop, nelle sottodirectory e nella cartella %appdata%. Il ransomware Big Head modificherà inoltre lo sfondo del computer. Infine, il ransomware eseguirà un comando per aprire un browser e accedere al canale Telegram dello sviluppatore del malware.
- Teleratserver.exe: Si tratta di un file binario a 64 bit compilato in Python che funge da canale di comunicazione tra l’autore dell’attacco e la vittima tramite Telegram. È in grado di accettare i comandi “start”, “help”, “screenshot” e “message”.
- BXluSsB.exe: Questo malware visualizza una finta interfaccia utente di aggiornamento di Windows per indurre la vittima a credere che l'attività faccia parte di un processo legittimo di aggiornamento del software.
Il malware si disattiverà automaticamente qualora la lingua di sistema dell’utente corrisponda ai codici nazionali di Russia, Bielorussia, Ucraina, Kazakistan, Kirghizistan, Armenia, Georgia, Tatarstan e Uzbekistan. Inoltre, disattiverà il Task Manager per impedire alla vittima di terminare il processo. Il malware inserisce quindi una copia di se stesso in una cartella nascosta da esso stesso creata e configura una voce nella chiave di registro RunOnce.
Il malware eviterà di crittografare i file presenti nelle directory che contengono un elenco specificato di sottostringhe e crittograferà solo i file con determinate estensioni. Il malware terminerà inoltre un elenco specifico di processi.
Esempio n. 2
Il secondo campione di Big Head presenta comportamenti tipici sia del ransomware che dello stealer. Il file principale scarica ed esegue tre file: runyes.crypter.bat, azz1.exe e server.exe.
Le attività del ransomware vengono svolte da runyes.cryper.batt e azz1.exe, mentre server.exe è responsabile della raccolta delle informazioni da sottrarre. Come il primo campione, anche questo cambierà lo sfondo del desktop della vittima.
Esempio n. 3
Questo campione include un file infettante che Trend Micro ha identificato come Neshta nella propria catena. Neshta è progettato per infettare i file eseguibili e inserirvi il proprio codice dannoso.
L'integrazione di Neshta nella distribuzione del ransomware può inoltre fungere da tecnica di camuffamento per il payload finale del ransomware e, potenzialmente, distogliere l'attenzione degli analisti dall'individuazione della vera minaccia, ovvero il ransomware stesso.
Informazioni sull'autore dell'attacco
La richiesta di riscatto indica che l'autore del malware utilizza l'e-mail e Telegram per comunicare con le vittime.
Dopo aver approfondito l'analisi del nome utente su Telegram, i ricercatori sono riusciti a individuare un account YouTube associato. L'account è relativamente nuovo, essendo stato creato nell'aprile di quest'anno, e conta un totale di 12 video pubblicati. I video mostrano alcune dimostrazioni del malware individuato da Trend Micro.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sebbene Big Head non sia una variante di ransomware particolarmente sofisticata, le numerose varianti in circolazione indicano che i suoi creatori stanno lavorando attivamente per svilupparla e perfezionarla.»
"Trend Micro ha esaminato la cronologia del portafoglio Bitcoin associato e ha individuato transazioni risalenti al numero 2022. Al momento non sono disponibili ulteriori dettagli sulla natura di tali transazioni né sulla natura degli attacchi ad esse associati. Ciò implica tuttavia che tale autore della minaccia possa avere una certa esperienza pregressa.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
