Nel riepilogo di questa settimana, analizziamo in che modo la tecnica di phishing tramite callback denominata “BazarCall” venga sfruttata da almeno tre gruppi di hacker distinti. Inoltre, il colosso tecnologico Cisco ha recentemente confermato di aver subito un attacco informatico di tipo “ maggio 2022 ”. Inoltre, CTI esamina l’ultima analisi contenuta nel rapporto DFIR relativa a un attacco che ha visto protagonista il malware BumbleBee, rimasto inosservato per 11 giorni.
1. AdvIntel emette un avviso relativo a BazarCall a seguito degli attacchi contro Twilio e Cloudflare
AdvIntel ha pubblicato un articolo sul proprio blog in cui descrive in dettaglio le più recenti attività dei criminali informatici che sfruttano BazarCall (noto anche come BazaCall), una tecnica di phishing tramite richiamata telefonica pericolosa ed efficace.
BazarCall è apparso per la prima volta nel 2020 (si apre in una nuova scheda) come parte del kit di strumenti di Ryuk, una famigerata banda di autori di ransomware che in seguito ha assunto il nome di Conti. La ricerca di AdvIntel afferma che, da allora, tre gruppi di hacker distinti e non collegati tra loro hanno adottato e perfezionato le proprie tattiche di phishing “ ” , derivate da tale metodologia: Silent Ransom, Quantum e Roy/Zeon.
Più recentemente, Cloudflare (si apre in una nuova scheda) e Twilio (si apre in una nuova scheda) hanno entrambe subito attacchi simili che prevedevano operazioni di phishing da parte di un attore malintenzionato avanzato, in possesso dei numeri di telefono fissi dei dipendenti e delle loro famiglie.
Impact nel paesaggio
BazarCall si distingue per aver ribaltato lo schema tipico delle operazioni di phishing, avvalendosi invece di conoscenze avanzate di ingegneria sociale e di phishing mirato (spear phishing) per penetrare nelle reti delle vittime.
L’uso dell’ingegneria sociale per via telefonica — a differenza delle complesse operazioni di hacking di natura tecnica — è un fenomeno che ha chiaramente acquisito slancio ed è stato adottato da autori di minacce di ogni tipo, ma soprattutto da coloro che si dedicano al ransomware e all’estorsione. Ad esempio, abbiamo visto il gruppo Lapsus$, relativamente poco sofisticato, mettere in ginocchio alcuni colossi del settore informatico, e sembra che alcuni dei loro omologhi stiano tentando di fare lo stesso, come dimostrano i recenti attacchi a Cloudflare e Twilio citati in precedenza.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Silent Ransom — che, come gli altri due gruppi sopra menzionati, è composto da ex membri di alto rango di Conti — non è chiaramente più l’unico gruppo malintenzionato a ricorrere alle operazioni di phishing altamente mirate di cui è stato pioniere.» Né sono l’unico gruppo a ricorrere al voice phishing, o “vishing”, come dimostrano i recenti attacchi citati nel presente documento. Altri gruppi di hacker, constatando il successo, l’efficienza e la precisione di queste tattiche, hanno iniziato a utilizzare le campagne di phishing inverso come metodologia di base e a sviluppare il vettore di infezione trasformandolo in uno stile di attacco proprio.
È probabile che questa tendenza continui e, in tal caso, è probabile che altre vittime si facciano avanti, sulla scia di Cloudflare e Twilio. In un certo senso, è quasi come se le tattiche utilizzate dagli hacker avessero compiuto un giro completo. I semi dell’“hacking” così come lo conosciamo oggi furono piantati ai tempi del “phone-phreaking” di Kevin Mitnick — l’hacker più famoso al mondo — e dei suoi colleghi, quando non potevano contare su nient’altro che sul proprio ingegno, sulla prontezza di spirito, sulla conoscenza dei sistemi di destinazione e, soprattutto, sulle proprie voci. Gli autori delle minacce sembrano aver finalmente compreso il potenziale delle tattiche avanzate di ingegneria sociale. Ciò rappresenta un problema per tutti noi, poiché le operazioni di phishing diventano sempre più elaborate e difficili da distinguere dalle comunicazioni legittime.”
2. Cisco è stata vittima di un attacco da parte del gruppo di hacker Yanluowang, autore del ransomware
Cisco ha recentemente confermato che il gruppo di autori del ransomware Yanluowang ha violato la propria rete aziendale alla fine di maggio e che gli autori hanno tentato di estorcere denaro all’azienda minacciando di divulgare online i file sottratti. Secondo Cisco, l’azienda ha immediatamente adottato misure per eliminare la minaccia.
L'azienda sostiene che gli autori dell'attacco siano riusciti a sottrarre solo dati non sensibili da una cartella Box collegata all'account di un dipendente vittima della violazione.
“Cisco non ha riscontrato alcun impatto sulla propria attività a seguito di questo incidente, né su alcun prodotto o servizio Cisco, né sui dati sensibili dei clienti o sulle informazioni riservate dei dipendenti, né sulla proprietà intellettuale di Cisco, né sulle operazioni della catena di fornitura”, ha affermato l’azienda in un comunicato (si apre in una nuova scheda). “Su 10 agosto, gli autori dell’attacco hanno pubblicato sul dark web un elenco di file relativi a questo incidente di sicurezza.”
Cisco è stata vittima di un attacco da parte del gruppo di hacker Yanluowang, autore di un ransomware; sarebbero stati sottratti 2,8GB dispositivi - @serghei bleepingcomputer.com/news/security/…
La risposta contiene un link a un’analisi dettagliata di Cisco Talos, disponibile all’indirizzo (si apre in una nuova scheda), che fornisce approfondimenti relativi all’attacco. In una lodevole dimostrazione di trasparenza, il rapporto di Cisco Talos entra in un livello sorprendente di dettaglio riguardo alle varie fasi della catena di attacco.
Punti chiave
L'elenco che segue non costituisce affatto una raccolta esaustiva di tutti gli aspetti salienti di questo attacco, bensì una selezione di alcuni elementi di interesse che contribuiscono a caratterizzare l'incidente:
- Nel corso dell'attacco sono stati rilevati tentativi di sottrarre informazioni.
- L’autore dell’attacco ha ripetutamente sfruttato le carenze nelle procedure di rotazione delle password a seguito delle reimpostazioni obbligatorie delle password dei dipendenti, prendendo di mira gli utenti che, a quanto pare, riteneva avessero modificato la password precedente cambiando un solo carattere.
- L'autore dell'attacco ha fatto ricorso a servizi di anonimizzazione del traffico quali Tor.
- Una volta espulso dall’ambiente, l’autore dell’attacco ha tentato ripetutamente di comunicare via e-mail con i dirigenti, senza tuttavia formulare minacce specifiche né avanzare richieste di estorsione.
Nel corso dell’attacco, l’autore dell’attacco ha inoltre immesso una serie di payload nei sistemi. Molti di questi sono ancora in fase di analisi, ma almeno alcuni sono stati esaminati e se ne è individuata la finalità. Tra questi vi è una semplice backdoor progettata per ricevere ed eseguire – tramite il Command Processor dell’ Windows – istruzioni provenienti da un server C2 , inviate sotto forma di blob di tipo “ JSON ”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Cisco merita un elogio per la trasparenza con cui l’azienda ha descritto gli eventi relativi all’attacco. Una condivisione delle informazioni così approfondita e dettagliata potrebbe contribuire a impedire che attacchi simili abbiano ripercussioni su altre organizzazioni in futuro.
Il ransomware Yanluowang è apparso per la prima volta su (si apre in una nuova scheda) intorno al ottobre 2021, quando è stato impiegato in attacchi mirati contro reti aziendali. In quella serie di attacchi, gli autori venivano spesso individuati quando gli analisti rilevavano attività sospette a seguito dell’utilizzo di strumenti legittimi, quali lo strumento di interrogazione di Active Directory AdFind. aprile 2022 aveva annunciato che Kaspersky aveva individuato delle vulnerabilità nell’algoritmo di crittografia del ransomware, rendendo così possibile il recupero dei file da esso crittografati. Kaspersky ha rilasciato poco dopo un programma di decrittografia gratuito (si apre in una nuova scheda) per le vittime di Yanluowang.
Il fatto che durante l’indagine condotta da Cisco non siano stati individuati payload di ransomware potrebbe costituire un segnale significativo. Lo stesso vale per il fatto che gran parte dell’attacco — se non addirittura tutto — sembrava essere stato condotto da esseri umani. Yanluowang potrebbe semplicemente essere un’altra banda di ransomware che è passata a un modello di estorsione senza crittografia, simile per natura a quello dei loro colleghi di Lapsus$. Se così fosse, Yanluowang andrebbe considerato una minaccia non meno grave.”
3. L'attacco del malware BumbleBee è rimasto inosservato per 11 giorni
Il rapporto DFIR offre un’approfondita analisi tecnica del malware BumbleBee di (si apre in una nuova scheda) e del ruolo che esso ha svolto in una recente intrusione, nel corso della quale gli autori dell’attacco hanno operato all’interno della rete dell’organizzazione bersaglio per 11 giorni senza essere individuati.
“Nel corso di questa intrusione, gli autori dell’attacco hanno ottenuto l’accesso utilizzando un file LNK e un’ ISO , hanno impiegato diverse tecniche di movimento laterale, hanno estratto le credenziali in tre modi diversi, hanno effettuato un ‘kerberoast’ su un account di amministratore di dominio e hanno inserito ed eseguito uno strumento personalizzato per individuare percorsi di escalation dei privilegi”, spiega DFIR.
BumbleBee si fa strada fino al dominio Admin ➡️Accesso iniziale: BumbleBee (file compresso ISO con LNK+DLL) ➡️Persistenza: AnyDesk ➡️Individuazione: VulnRecon, Seatbelt, AdFind, ecc. ➡️Credenziali: Kerberoast, comsvcs.dll, ProcDump ➡️C2: BumbleBee, CobaltStrike, AnyDesk thedfirreport.com/2022/08/08/bum…
I ricercatori del DFIR non hanno rilevato alcuna esfiltrazione, crittografia o distruzione dei dati nel corso di questa intrusione. Tuttavia, le TTP osservate evidenziano “le tecniche tipiche degli autori di minacce informatiche, che avrebbero potuto portare a un attacco ransomware su scala di dominio qualora gli autori avessero avuto tempo a sufficienza”.
CTI aveva già riferito in precedenza in merito al malware BumbleBee, un loader di malware segnalato per la prima volta da e osservato su (si apre in una nuova scheda) in marzo 2022 dal Threat Analysis Group (TAG) di Google. Google attribuisce questo malware a un broker di accesso iniziale (IAB) denominato Exotic Lily.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il rapporto DFIR è noto per la sua analisi incredibilmente approfondita, e questo caso non fa eccezione. CTI raccomanda di consultare il rapporto completo per ulteriori dettagli tecnici.»
Il malware BumbleBee sembrava essere sulla cresta dell’onda quando è stato individuato per la prima volta all’inizio di quest’anno; i ricercatori lo hanno descritto come il nuovo BazarLoader (si apre in una nuova scheda), sottolineandone al contempo i presunti legami con organizzazioni criminali composte da broker di accesso iniziale (IAB).
L'attività legata a BumbleBee sembrava essersi ridotta dopo la sua comparsa, ma il malware è recentemente riapparso e ha riconquistato il suo precedente ruolo di canale di diffusione serio ed efficace per il ransomware e altri payload. Questo malware viene utilizzato sempre più spesso dagli autori delle minacce, ed è facile capire il motivo. BumbleBee è uno strumento piuttosto sofisticato, che pone l’accento sull’elusione dei sistemi di rilevamento. Infatti, BumbleBee è talmente abile nell’eludere le soluzioni di difesa tradizionali che ha consentito agli autori della minaccia all’origine dell’intrusione sopra analizzata di rimanere inosservati per 11 giorni. Potrebbe non sembrare un periodo molto lungo, ma la pensi in questo modo: vorrebbe che un ladro si aggirasse furtivamente in casa sua per 11 giorni?
Successivamente: Visiti la comunità “ Tanium ”
Avete domande o osservazioni su queste tematiche emergenti? Visiti i nostri siti , Community , (si apre in una nuova scheda),e per partecipare ai forum di discussione e tenersi aggiornato sulle nostre più recenti best practice in materia di sicurezza informatica.
La invitiamo inoltre a provare Tanium e a scoprire in prima persona come la nostra soluzione “ Converged Endpoint Management ” (XEM) possa proteggere la Sua azienda da minacce sofisticate. Provi la versione di prova gratuita (si apre in una nuova scheda).
