Nel rapporto di questa settimana, il CTI analizza un rapporto di intelligence tattica relativo alla scoperta di un sottogruppo del APT41, finora non documentato, denominato Earth Longzhi. Di seguito viene presentata una panoramica della proposta del governo australiano volta a introdurre, potenzialmente, un divieto relativo al ransomware e ai pagamenti a scopo di estorsione, tenendo conto delle possibili implicazioni per i criminali informatici, i professionisti della sicurezza, le forze dell’ordine, gli assicuratori del settore informatico e altri soggetti interessati. È inoltre inclusa una sintesi di alcuni recenti sviluppi relativi a Twitter e di come, secondo gli esperti di sicurezza, i cambiamenti ai vertici dell’azienda potrebbero influire sul livello di sicurezza della piattaforma di social media.
1. Earth Longzhi: un nuovo sottogruppo APT41 che utilizza un loader personalizzato Symatic Cobalt Strike
Trend Micro (si apre in una nuova scheda) ha recentemente rivelato l’esistenza di un sottogruppo, finora non documentato, del gruppo di hacker cinese sostenuto dallo Stato , APT41 (si apre in una nuova scheda), denominato Earth Longzhi. Il sottogruppo è attivo dal 2020 e utilizza versioni personalizzate dei loader di Cobalt Strike per installare backdoor persistenti sui sistemi di destinazione.
Trend Micro ha condotto un'indagine su un incidente verificatosi all'inizio del 2022 , nel corso del quale un'azienda di Taiwan è stata vittima di un attacco informatico. Il malware utilizzato nell’incidente era un loader personalizzato di Cobalt Strike che ha condotto i ricercatori alla scoperta di ulteriori incidenti, risalenti al 2020, in cui era stato impiegato un loader simile. Trend Micro ha denominato questo gruppo “Earth Longzhi” e ha rilevato due campagne su larga scala condotte da tale organizzazione.
La prima campagna di malware Earth Longzhi
La prima campagna “Earth Longzhi” si è svolta tra il maggio 2020 e il febbraio 2021 e ha preso di mira i settori governativo, delle infrastrutture, accademico e sanitario a Taiwan, oltre al settore bancario in Cina.
Questa campagna ha utilizzato e-mail di phishing di tipo spear- come vettore di accesso principale per diffondere il proprio malware e ha fatto ricorso a un loader personalizzato di Cobalt Strike, denominato Symatic loader, oltre ad altri strumenti di hacking personalizzati.
Earth Longzhi sviluppa e utilizza uno strumento di hacking "tutto in uno" per le proprie attività post-exploit. Questo strumento "tutto in uno" riunisce tutte le utilità necessarie in un unico pacchetto e ne include molte che sono disponibili al pubblico o che sono state utilizzate in attacchi precedenti. Ciò consente all'autore dell'attacco di eseguire diverse operazioni utilizzando un unico file eseguibile. Tra le sue funzioni figurano l’avvio di un processo con privilegi più elevati, la raccolta di informazioni sulle unità locali o remote, la modifica del timestamp di un file, la disattivazione della protezione dei file di Windows , e così via.
La seconda campagna
La seconda campagna si è svolta nel periodo compreso tra il agosto 2021 e il giugno 2022 e ha preso di mira vittime di alto profilo nei settori della difesa, dell’aviazione, delle assicurazioni e dello sviluppo urbano a Taiwan, in Cina, Thailandia, Malesia, Indonesia, Pakistan e Ucraina.
Come già accaduto nella prima campagna, anche in questa occasione sono state utilizzate principalmente e-mail di spear-phishing come punto di accesso iniziale. Earth Longzhi ha impiegato in questa campagna vari tipi di loader Cobalt Strike personalizzati, che Trend Micro ha denominato CroxLoader, BigpipeLoader, OutLoader e MultipipeLoader.
Nel corso delle indagini sulla seconda campagna, Trend Micro ha inoltre raccolto diversi strumenti di hacking. Gli strumenti raccolti erano destinati all’escalation dei privilegi (PrintNightmare e PrintSpoofer), all’estrazione delle credenziali (Mimikatz) e all’elusione dei sistemi di difesa (disattivazione dei prodotti di sicurezza). Anziché avvalersi di strumenti pubblici, Earth Longzhi provvede a reimplementare o a sviluppare strumenti propri sulla base di alcuni progetti open source.
Attribuzione a Earth Longzhi
Trend Micro ha attribuito tale attività al sottogruppo APT41’s “Earth Longzhi” sulla base dei seguenti fattori:
- sulla vittimologia: le regioni colpite e i settori presi di mira sono paesi di interesse situati nell’Asia orientale e sud-orientale, il che è in linea con la vittimologia di un altro sottogruppo dell’APT 41 , Earth Baku (si apre in una nuova scheda).
- dei metadati condivisi di Cobalt Strike: I ricercatori hanno scoperto che la maggior parte dei payload di Cobalt Strike presentava la stessa filigrana e la stessa chiave pubblica. Questa combinazione di filigrana e chiave pubblica viene utilizzata anche da altri APT41 sottogruppi e indica che Earth Longzhi condivide lo stesso server del team Cobalt Strike con altri APT41 sottogruppi.
- Somiglianze nel codice: I ricercatori hanno scoperto che gli algoritmi di decrittografia presenti in Symatic Loader e CroxLoader sono molto simili a quello identificato in relazione al gruppo GroupCC (si apre in una nuova scheda), un altro sottogruppo del APT41 .
- TTP sovrapposti: Earth Longzhi ha adottato la CDN Python Fastly gestita da GroupCC per nascondere l’indirizzo effettivo del server di comando e controllo (C2). I ricercatori ritengono che ciò costituisca una prova dell'esistenza di una relazione tra i due sottogruppi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il “APT41 è incredibilmente sofisticato e qualsiasi potenziale sottogruppo (come Earth Longzhi) dovrebbe essere trattato con lo stesso grado di cautela che viene solitamente riservato al proprio gruppo di appartenenza. Le due campagne condotte da Earth Longzhi e monitorate da Trend Micro si sono protratte per diversi mesi — un’ulteriore prova della sofisticatezza del gruppo e del suo impegno in materia di sicurezza operativa (OPSEC), poiché l’attività è rimasta non attribuita per oltre due anni.”
2. L'Australia sta valutando la possibilità di vietare i pagamenti ai autori di ransomware
L'Australia sta attualmente valutando la possibilità di vietare il pagamento dei riscatti richiesti dai ransomware, nel tentativo di indebolire l'aspetto legato all'estorsione del modello di business dei criminali informatici.
Clare O’Neil, ministro degli Affari interni e della sicurezza informatica, ha confermato che il governo sta valutando non solo di vietare i pagamenti ai ransomware, ma anche di criminalizzare i pagamenti a titolo di estorsione nell’ambito della strategia informatica complessiva del governo.
Perché l’Australia potrebbe vietare i pagamenti ai ransomware
Negli ultimi tempi l’Australia ha registrato numerosi incidenti di sicurezza informatica di grande risonanza. Una delle violazioni più rilevanti è quella relativa a Medibank, denominata “” (si apre in una nuova scheda), verificatasi all’inizio di questo mese. Medibank, una delle maggiori compagnie assicurative sanitarie private australiane, ha recentemente reso noto che alcuni hacker sono riusciti ad accedere ai dati personali dei propri clienti. L’organizzazione ha dichiarato che non avrebbe versato alcun riscatto agli autori dell’attacco, una decisione che, secondo quanto riferito, si baserebbe sui consigli ricevuti da esperti in materia di criminalità informatica.
L’incidente che ha coinvolto Medibank si è verificato appena poche settimane dopo che Optus, la seconda società di telecomunicazioni più grande dell’Australia, , ha subito un attacco informatico (si apre in una nuova scheda). Questi attacchi hanno infine spinto il governo australiano ad avviare le attuali riflessioni in merito a un possibile divieto di effettuare pagamenti ai autori di attacchi ransomware.
Cos’altro sta facendo l’Australia?
La riflessione dell’Australia in merito al divieto totale del pagamento dei riscatti è iniziata appena un giorno dopo che il ministro aveva annunciato una nuova operazione congiunta permanente tra la Polizia Federale Australiana (AFP) e l’Australian Signals Directorate (ASD) — rispettivamente le principali forze dell’ordine e le principali agenzie di intelligence informatica e delle comunicazioni del Paese — volta a combattere la criminalità informatica.
Questa nuova iniziativa mira a «smantellare le organizzazioni criminali informatiche, con particolare attenzione ai gruppi che utilizzano il ransomware» e provvederà a «raccogliere informazioni e identificare i capi, le reti e le infrastrutture al fine di ostacolare e bloccare le loro operazioni, indipendentemente da dove si trovino».
Il piano dell’Australia contro il ransomware funzionerà?
Il divieto di pagare i riscatti richiesti dai ransomware è una questione delicata, che probabilmente susciterà reazioni diverse a seconda della persona a cui ci si rivolge.
Gran parte della logica alla base del potenziale divieto di effettuare pagamenti ai ransomware si riduce al fatto, spesso ribadito, che le vittime di un attacco ransomware sono costrette a trattare con i criminali. Ciò solleva una domanda ovvia: come si fa a fidarsi di un criminale, soprattutto durante una trattativa? Sebbene un autore di attacchi possa affermare che il pagamento del riscatto garantisca che i dati sottratti non vengano resi pubblici e che tutti i file crittografati vengano ripristinati, in fin dei conti non vi è alcuna garanzia.
L’unica certezza è che il pagamento del riscatto non fa altro che premiare l’autore della minaccia, fornendogli un rinforzo positivo e dimostrando che i suoi sforzi sono efficaci e fruttuosi. Inoltre, il pagamento dei riscatti potrebbe rendere le organizzazioni vittime e i rispettivi settori di appartenenza un bersaglio ancora più appetibile. Una volta che gli autori delle minacce si rendono conto che una determinata azienda, un determinato settore o un determinato Paese è disposto a pagare un riscatto, tale bersaglio diventa ancora più allettante.
D'altro canto, criminalizzare i pagamenti dei riscatti richiesti dai ransomware potrebbe sortire un effetto opposto a quello desiderato. Come sottolinea The Record, ciò potrebbe «spingere la visibilità degli attacchi ancora più nell’ombra, costringendo le aziende a tacere sugli incidenti per evitare il controllo delle autorità di regolamentazione».
Il fatto di costringere al pagamento di riscatti in modo clandestino nasconde tali reati e rende l’intervento delle forze dell’ordine ancora più difficile di quanto non sia già.
Cosa comporta tutto ciò per i criminali informatici?
Se l’Australia dovesse decidere di procedere con il divieto dei pagamenti ai ransomware, i criminali informatici potrebbero reagire in diversi modi.
Da un lato, gli autori delle minacce potrebbero non considerare più l’Australia come un obiettivo redditizio per le operazioni di ransomware. Perché affrontare tutte le difficoltà e gli sforzi necessari per condurre operazioni di ransomware se è illegale che la vittima paghi il riscatto? Che vantaggi si possono trarne? Naturalmente, tale esito dipende interamente dal presupposto che ogni organizzazione australiana sia determinata a rispettare alla lettera la legge, indipendentemente dai costi che ciò potrebbe comportare in termini di tempi di inattività, interruzioni del servizio e danno alla reputazione.
Anche gli autori delle minacce potrebbero considerarla una sfida. Dopotutto, le aziende vittime di un attacco ransomware potrebbero cercare di nascondere il fatto di aver pagato un riscatto qualora tale pratica venisse considerata reato. Se ciò dovesse accadere, un autore di attacchi potrebbe tornare a chiedere il pagamento di un riscatto aggiuntivo per mantenere il riserbo sul primo — un’ulteriore forma di ricatto che gli autori di attacchi ransomware potrebbero aggiungere al proprio arsenale di estorsione.
Gli autori delle minacce potrebbero inoltre passare dal ransomware ad altre modalità di generazione di profitti. Non è chiaro se gli autori delle minacce decidano o meno di spostare la propria attenzione dall’Australia verso altri paesi oppure di sfruttare la possibilità di ottenere ulteriori pagamenti di riscatto.
In che modo ciò influisce sull’assicurazione contro i rischi informatici
L'assicurazione contro i rischi informatici varia da compagnia a compagnia a seconda della durata della polizza, ma molte di esse possono coprire il pagamento dei riscatti oltre ad altre perdite finanziarie associate agli attacchi informatici. Gli assicuratori del settore informatico e i titolari di polizze di assicurazione informatica dovrebbero probabilmente riesaminare e apportare modifiche alle polizze esistenti qualora il pagamento dei riscatti venisse considerato reato.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’intenzione dell’Australia di vietare il pagamento dei riscatti potrebbe provocare forti ripercussioni nel mercato del ransomware. “Dopotutto, vietare il pagamento dei riscatti non porrà fine alla criminalità informatica e probabilmente incoraggerà gli autori delle minacce a modificare le loro tattiche.”
«La possibilità di un divieto totale richiama alla mente l’era del proibizionismo negli Stati Uniti, quando il Volstead Act mise al bando l’alcol. Anziché impedire alle persone di consumare alcolici, tale misura non ha fatto altro che aumentare la violenza delle bande e dare origine a nuovi mercati clandestini. Quest’ultima circostanza si verificherebbe probabilmente a seguito del divieto totale di versare riscatti.”
«Ora si moltiplicano altre domande. È possibile che gli autori delle minacce passino dal ransomware ad altre modalità di generazione di profitti nei paesi in cui è vietato il pagamento del riscatto? E gli autori delle minacce smetteranno del tutto di prendere di mira questi paesi? «CTI continuerà a seguire gli sviluppi relativi alla decisione dell’Australia di vietare il pagamento dei riscatti e prenderà atto di eventuali ripercussioni derivanti da tale scelta».
3. Il crescente problema di sicurezza di Twitter
Twitter Si trova attualmente ad affrontare una serie di rischi per la sicurezza, poiché l’azienda continua a subire cambiamenti a livello dirigenziale e di personale.
Ad esempio, i vertici della sicurezza dell’azienda si sono recentemente dimessi a seguito dell’acquisizione da parte di Elon Musk.
Da Politico: “I massimi responsabili della sicurezza di Twitter (si apre in una nuova scheda) — tra cui il responsabile della sicurezza informatica, il responsabile della privacy, il responsabile della conformità e il responsabile della fiducia e della sicurezza — hanno tutti rassegnato le dimissioni giovedì, adducendo come motivazione il rischio legato all’attuazione di alcune delle nuove misure di Musk volte ad aumentare i ricavi (come la nuova politica sui simboli di verifica) nel contesto di un’indagine in corso da parte della Commissione Federale per il Commercio.”
Un esodo di massa dei funzionari incaricati di attuare le politiche di sicurezza dell’ Twitter non fa ben sperare per la capacità dell’azienda di difendersi dagli hacker. La situazione della sicurezza informatica di Twitter era già motivo di preoccupazione per molti e ha dato origine a una denuncia presentata ai sensi della legge “ ” (si apre in una nuova scheda) , presentata dall’ex responsabile della sicurezza Peiter Zatko all’inizio di quest’anno. Ora, la situazione sembra peggiorare ulteriormente.
Drastica riduzione del personale
Ad aggravare la situazione già tesa vi sono numerose segnalazioni secondo cui l’ Twitter e avrebbe licenziato oltre 4.000 dei 5.500 dipendenti a contratto dell’azienda.
Si ritiene che i ruoli interessati includano quelli che costituiscono i “servizi infrastrutturali fondamentali” dell’ Twitter, oltre alle figure professionali addette alla moderazione dei contenuti e al marketing. Diversi tweet pubblicati direttamente dalle persone colpite dai tagli sembrerebbero indicare che anche numerosi dipendenti dei team “Trust and Safety” di Twitter siano stati coinvolti.
La piattaforma ha ricevuto numerose critiche per la gestione dei licenziamenti, (si apre in una nuova scheda) che è stata ampiamente descritta dagli ex dipendenti di Twitter come condotta in modo estremamente impersonale. Molti dipendenti sono venuti a conoscenza della propria sorte tramite e-mail, mentre altri sono stati semplicemente lasciati a cavarsela da soli quando il loro accesso al sistema è stato improvvisamente revocato.
Principali preoccupazioni in materia di sicurezza
Una delle principali preoccupazioni in materia di sicurezza presso Twitter riguarda l’enorme quantità di dati che l’azienda archivia, che va ben oltre i semplici indirizzi e-mail e le password. L'azienda archivia inoltre i dati all'interno delle caselle di posta dei messaggi diretti di (si apre in una nuova scheda) , ma non utilizza la crittografia end-to-end.
Twitter sta inoltre affrontando le conseguenze della diffusione capillare di account fasulli a seguito del tentativo di revisione del proprio sistema del segno di spunta blu, inizialmente concepito per accrescere la fiducia nell’affidabilità delle informazioni presenti sulla piattaforma.
All’inizio di novembre, Twitter ha lanciato il servizio in abbonamento “Blue” da 7,99 dollari nel proprio negozio online per iPhone App. Il servizio consentiva agli utenti di acquistare l’ambito segno di spunta blu, un indicatore che in precedenza era stato simbolo della veridicità e dell’autenticità di un account. Più recentemente, la possibilità per gli utenti di registrarsi a “ Twitter Blue” è scomparsa dal sito App.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Le conseguenze più immediate e visibili di questi recenti avvenimenti sono il calo dei prezzi delle azioni, nonché il numero crescente di inserzionisti che hanno sospeso la propria spesa (si apre in una nuova scheda) con Twitter.»
“Vi sono inoltre motivi di preoccupazione riguardo al costo umano dell’esodo legato alla sicurezza che sta interessando l’ Twitter. A quanto pare, l’intero apparato di sicurezza di “ Twitter” (che, secondo alcune fonti, era un’impresa agli esordi) potrebbe essere stato sciolto.
«Naturalmente, il sito Twitter era già pieno di disinformazione, bufale e truffe. Gli sviluppi sopra descritti aumenteranno probabilmente in modo esponenziale la frequenza con cui l’utente medio di Twitter si imbatte in situazioni di questo tipo.”
“Il CTI invita alla cautela quando si intraprendono interazioni su qualsiasi piattaforma di social media. Question «tutto.»
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
