Per iniziare questa settimana, vi proponiamo un’analisi delle tendenze più significative in materia di criminalità informatica registrate nella prima metà del 2022, tra cui un aumento degli attacchi di tipo “Business Email Compromise” (BEC) (si apre in una nuova scheda) , che si basano in larga misura sul targeting e sulla manipolazione delle persone. Di seguito analizziamo le ultime evoluzioni del loader del malware Bumblebee e della botnet ad esso associata. Concludiamo infine con un resoconto sulla comparsa di alcuni repository fraudolenti dedicati a “ GitHub ”, in cui i criminali informatici stanno tentando di trarre profitto dal clamore suscitato in tutto il settore dalla scoperta e dalla segnalazione dello sfruttamento delle vulnerabilità zero-day di ProxyNotShell da parte di presunti gruppi APT sostenuti da Stati.
1. L’impennata degli attacchi BEC è indicativa di una tendenza in aumento degli attacchi di estorsione senza crittografia
Arctic Wolf ha recentemente pubblicato il proprio rapporto intitolato “: 1H e 2022 approfondimenti sulla risposta agli incidenti (si apre in una nuova scheda)”. Ecco alcuni dei punti salienti:
- La richiesta mediana di riscatto da parte dei gruppi di autori di minacce era pari a 450.000 dollari; i settori della tecnologia e delle spedizioni/logistica hanno registrato richieste più che doppie rispetto alla mediana globale.
- Sebbene il fattore umano rappresenti un vettore di attacco comune che gli autori delle minacce possono sfruttare, oltre il 80% degli incidenti è causato dallo sfruttamento di vulnerabilità non corrette o di strumenti di accesso remoto.
- Gli incidenti legati alle vulnerabilità ProxyShell e Log4J , di cui si è molto parlato, continuano a comportare per le organizzazioni costi di gestione pari al doppio rispetto a quelli di un incidente medio.
Aumento dei casi di BEC e correlazione con la mancanza di autenticazione a più fattori (MFA)
I dati di Arctic Wolf indicano un allontanamento dal ransomware da parte dei criminali informatici, poiché gli hacker ricorrono sempre più spesso a schemi di “estorsione senza crittografia”. Uno dei cambiamenti più significativi nel panorama delle minacce è il numero di attacchi BEC andati a buon fine osservati nel corso del secondo trimestre del 2022.
Secondo Arctic Wolf, i casi di BEC, se considerati come parte integrante di tutti i casi di risposta agli incidenti esaminati, sono più che raddoppiati nel secondo trimestre dell’anno, rappresentando il 34% del totale rispetto al solo 17% registrato nel primo trimestre del 2022. I settori dei servizi alle imprese, legale/pubblico e finanziario/assicurativo hanno registrato un aumento significativo del numero di organizzazioni colpite da questo tipo di attacco. È preoccupante che dai dati sia emerso un elemento comune evidente: il 80% delle organizzazioni colpite non disponeva di un’autenticazione a più fattori (MFA) .
Perché gli attacchi BEC stanno aumentando
Gli attacchi di ingegneria sociale (si apre in una nuova scheda) , che mirano a ingannare le persone, riescono spesso ad aggirare le soluzioni di sicurezza basate sulla posta elettronica e altre misure difensive. In alcuni casi, questi attacchi hanno un tasso di successo maggiore rispetto a quelli che tentano di sfruttare le vulnerabilità hardware o software.
Con ciò non si intende dire che le vulnerabilità esterne non rivestano un ruolo significativo. Infatti, Abnormal Security ha rilevato nel proprio rapporto sulle minacce (si apre in una nuova scheda) all’inizio di quest’anno che la stragrande maggioranza di tutti gli incidenti di criminalità informatica (81%) riguardava vulnerabilità esterne presenti in alcuni prodotti altamente presi di mira — in particolare, il server Exchange di Microsoft'e il software per desktop virtuali Horizon di VMware'— nonché servizi remoti configurati in modo inadeguato, come il Remote Desktop Protocol (RDP) di Microsoft'.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Oltre a riportare alcuni dettagli degni di nota relativi al ransomware, il rapporto “1H 2022 Incident Response Insights” di Arctic Wolf, pubblicato su (si apre in una nuova scheda) , evita in gran parte di unirsi al coro di tendenze contrastanti sul ransomware diffuse dalle società di intelligence.”
"Mentre alcune statistiche confermano una tendenza che vede un numero di incidenti mai registrato prima, altre sembrerebbero indicare un calo significativo degli attacchi ransomware segnalati."
"Alla luce delle ultime scoperte di Arctic Wolf, non si può che sottolineare con forza l’importanza di un programma completo di formazione e sensibilizzazione in materia di phishing e ingegneria sociale. È inoltre opportuno simulare, nel modo più realistico possibile, gli attacchi informatici più recenti in cui gli esseri umani rappresentano il punto di ingresso più probabile nel corso delle esercitazioni."
"A parte ciò, rapporti come quelli citati sopra dovrebbero costituire un ulteriore campanello d’allarme sul fatto che non sono sempre i malware o le TTP più sofisticati a mettere in ginocchio le organizzazioni di alto profilo, sia dal punto di vista finanziario che reputazionale.”
2. Aggiornamento sul malware: il noto loader di malware Bumblebee introduce nuove funzionalità e perfeziona le proprie TTP
Il sempre popolare loader di malware Bumblebee è tornato a far parlare di sé, questa volta sotto forma di . La nuova analisi di Check Point (si apre in una nuova scheda) su questo malware in continua evoluzione.
Informazioni sul loader del malware Bumblebee
Bumblebee ha sostituito BazarLoader come una delle principali varianti di malware “precursore” utilizzate dagli autori delle minacce per avviare infezioni da ransomware, conquistando il posto che le spetta tra nomi ormai noti quali QBot, Emotet e TrickBot.
Il tempo impiegato da Bumblebee per salire quella scala è a dir poco straordinario. Come abbiamo già segnalato in precedenza, il successo di Bumblebee è in gran parte dovuto alla sofisticatezza delle e-mail di spear-phishing (si apre in una nuova scheda) attraverso le quali viene solitamente diffuso — una teoria che potrebbe essere correlata al legame del malware con un noto broker di accesso iniziale.
Aggiornamento sul loader del malware Bumblebee
Secondo l’ultima ricerca di Check Point, nella primavera del 2022 si è registrato un aumento significativo dell’attività legata al loader del malware Bumblebee.
Il loader del malware Bumblebee era già stato oggetto di un'attenta analisi da parte dell' Community per la sicurezza informatica, a causa dei suoi evidenti collegamenti con diverse famose famiglie di malware. (si apre in una nuova scheda)
Check Point evidenzia alcuni punti chiave:
- Bumblebee è in continua evoluzione, come dimostra chiaramente il fatto che il sistema di caricamento abbia subito due cambiamenti radicali nel giro di pochi giorni: dapprima si è passati dall’utilizzo di file in formato ISO a file in formato VHD contenenti uno script PowerShell , per poi tornare nuovamente al formato precedente.
- I cambiamenti nel comportamento dei server di Bumblebee verificatisi intorno al giugno 2022 indicano che gli autori degli attacchi potrebbero aver spostato la propria attenzione dai test su larga scala del proprio malware al raggiungimento del maggior numero possibile di vittime.
- Sebbene la minaccia contenga un campo denominato "group_name", esso potrebbe non costituire un indicatore attendibile delle attività legate al clustering: alcuni campioni con valori diversi di "group_name" hanno infatti mostrato comportamenti simili, il che potrebbe indicare la presenza di un unico autore che gestisce numerosi "group_name". Lo stesso non vale per le chiavi di crittografia: chiavi di crittografia diverse implicano generalmente comportamenti diversi, come ci si aspetterebbe.
- I payload di Bumblebee variano notevolmente a seconda del tipo di vittima. I computer autonomi infetti saranno probabilmente colpiti da trojan bancari o da programmi di furto di dati, mentre le reti aziendali dovranno aspettarsi di essere colpite da strumenti di post-exploit più avanzati, quali CobaltStrike.
Il rapporto di Check Point prosegue affermando che alcune caratteristiche insolite dell’attività di Bumblebee osservata di recente (come il fatto che C2 server interrompano la comunicazione con qualsiasi host infetto che generi invii di client_id da un IP esterno di un’organizzazione dopo aver ricevuto il primo client_id da quella rete) hanno portato i suoi ricercatori a concludere che «se diversi computer di un’organizzazione, che accedono a Internet con lo stesso indirizzo IP pubblico, fossero infetti, il server C2 accetterà solo il primo che è stato infettato».
È interessante notare che questa funzione è stata improvvisamente disattivata alcune settimane fa, con un conseguente aumento drastico del numero di connessioni stabilite con host infetti. Rimane un mistero quale fosse lo scopo di tale funzionalità, anche se sembra probabile che sia stata attivata durante un periodo di test intensivi.
Questo strano comportamento ha spinto Check Point Research a monitorare il comportamento di Bumblebee in una serie di ambienti diversi in cui era stato eseguito. Tutto sembra indicare che questi indirizzi IP, improvvisamente collegati, fungano in realtà da copertura per un server principale C2 , attraverso il quale vengono inoltrate tutte le connessioni di Bumblebee (ovvero, un comportamento tipico delle botnet).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’analisi approfondita condotta dai ricercatori di Check Point offre un quadro chiaro di una minaccia che, come già sapevamo, era incentrata sull’aggiornamento continuo delle proprie capacità; al contempo, arricchisce la nostra base di conoscenze su Bumblebee, illustrando i cambiamenti nella sua catena di infezione e l’attività della botnet volta ad ampliare drasticamente il numero di vittime attive e ad aumentare il volume complessivo del traffico C2 .»
"Bumblebee continua a rappresentare una minaccia unica e credibile, distinguendosi dagli altri packer e strumenti di elusione di terze parti in quanto utilizza il proprio packer non solo per sé stesso, ma anche per i campioni di malware che distribuisce su un numero ingente di dispositivi delle vittime. Si tratta di una caratteristica che Bumblebee potrebbe aver acquisito da altre famiglie di malware precursori di alto livello, ma che produce effetti di gran lunga più significativi e offre un grado di flessibilità molto maggiore quando si tratta di modificare il proprio comportamento e adattarsi a nuovi ambienti.”
3. Microsoft falsi Exchange : exploit di ProxyNotShell in vendita su GitHub
Secondo un articolo di 3 ottobre pubblicato sul blog dedicato alla sicurezza informatica BleepingComputer, alcuni autori di minacce stanno approfittando del clamore suscitato dalle due vulnerabilità zero-day di Microsoft , ampiamente pubblicizzate (si apre in una nuova scheda) e denominate ProxyNotShell, spacciandosi per ricercatori di sicurezza al fine di vendere falsi exploit Proof-of-Concept relativi a ProxyNotShell.
Microsoft Exchange ProxyNotShell: exploit contraffatti in vendita su GitHub - @LawrenceAbrams bleepingcomputer.com/news/security/…
Che cos’è ProxyNotShell?
ProxyNotShell si riferisce a quanto descritto da Microsoft all’indirizzo (si apre in una nuova scheda) come “due vulnerabilità zero-day segnalate che interessano Microsoft Exchange Server 2013, Exchange Server 2016 e Exchange Server 2019. La prima, identificata con il numero CVE-2022-41040, è una vulnerabilità di tipo Server-Side Request Forgery (SSRF), mentre la seconda, identificata con il numero CVE-2022-41082, consente l’esecuzione di codice remoto (RCE) qualora l’autore dell’attacco abbia accesso a Exchange PowerShell .”
Secondo quanto riferito, le due vulnerabilità sarebbero state scoperte per la prima volta dai ricercatori di sicurezza dell’azienda vietnamita specializzata in cybersicurezza GTSC, e ne ha fornito un’eccellente sintesi (si apre in una nuova scheda)in un articolo pubblicato su 29 settembre e redatto da Kevin Beaumont (si apre in una nuova scheda), fonte di lunga data e affidabile del CTI , nonché eminente ricercatore nel campo della sicurezza.
Gruppo APT legato allo Stato sospettato degli attacchi ProxyNotShell
Il Threat Intelligence Center (MSTIC) di Microsoft , che afferma di aver rilevato attacchi mirati alle vulnerabilità di ProxyNotShell in meno di 10 organizzazioni a livello globale, ha valutato, con un grado di confidenza medio, che tale attività sia probabilmente opera di un gruppo APT affiliato a uno Stato.
Sebbene nessuno abbia apertamente attribuito in modo specifico tale attività a un attore o a uno Stato-nazione, è stato osservato che gli autori degli attacchi combinano le due vulnerabilità zero-day in cicli di attacco che portano all’installazione della web shell “China Chopper” sui server compromessi, al fine di garantire una maggiore persistenza, facilitare il furto di dati e consentire il movimento laterale.
I ricercatori hanno individuato alcuni repository di GitHub come sedi di attività di exploit finalizzate a truffe
Come abbiamo spesso osservato, ogni volta che una notizia come questa cattura l’attenzione dell’intera comunità di sicurezza informatica ( Community), i criminali informatici di ogni tipo si affrettano a cercare di trarre profitto dal clamore suscitato dall’incidente e dai suoi successivi sviluppi. Ciò si manifesta spesso sotto forma di campagne di phishing di tipo “ ” , caratterizzate da esche legate alla questione in esame. Con ProxyNotShell, stiamo assistendo a qualcosa di leggermente diverso.
John Hammond, ricercatore presso Huntress Labs, ha tenuto d’occhio l’attività di un particolare truffatore, il quale si è dato da fare per creare vari repository su GitHub nei quali sta tentando di spacciare falsi exploit POC relativi alle vulnerabilità CVE-2022-41040 e CVE-2022-41082 di Exchange – arrivando persino a offrire più copie, in quello che sembra un goffo tentativo di aumentare l’apparente legittimità dei POC.
Sembra che ce ne siano diversi: un altro con un link SatoshiDisk diverso e che "venda solo CINQUE copie"... a mio avviso si tratta di una truffa. Più file per sembrare più credibili? Ho segnalato l'account e il repository all'indirizzo GitHub. https[:]//github[.]com/TimWallbey/CVE-2022-41082-RCE
In un altro esempio, un account fraudolento , individuato da Paulo Pacheco (si apre in una nuova scheda), si spacciava per Kevin Beaumont della CTI. Si tratta indubbiamente di un tentativo di trarre profitto dalla reputazione di questo noto ricercatore nel campo della sicurezza, il quale ha documentato instancabilmente e in modo disinteressato le nuove vulnerabilità di Exchange e le misure di mitigazione disponibili.
Cosa contengono questi repository GitHub ?
Da BleepingComputer:
«I repository in sé non contengono nulla di rilevante, ma il file README.md descrive ciò che si sa attualmente sulle nuove vulnerabilità, seguito da una presentazione su come stanno vendendo una copia di un exploit PoC per le vulnerabilità zero-day.»
"Ciò significa che può passare inosservato all'utente e, potenzialmente, anche al team di sicurezza. «Uno strumento così potente non dovrebbe essere di dominio pubblico; ne è disponibile rigorosamente una sola copia, affinché un VERO ricercatore possa utilizzarlo: hxxps://satoshidisk[.]com/pay/xxx», si legge nel testo contenuto nel repository della truffa.
L'exploit POC fraudolento è attualmente in vendita al prezzo davvero irrisorio di 0,01825265 Bitcoin, per un valore di circa 420,00 dollari (molto inferiore al valore che avrebbe un vero POC e notevolmente inferiore a quanto altre organizzazioni stanno sborsando a chi è in grado di produrre zero-day di tipo RCE ( Microsoft ) e RCE ( Exchange ).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Per quanto possano essere difficili da reperire i dettagli tecnici relativi alle vulnerabilità di ProxyNotShell, è solo questione di tempo prima che venga reso pubblico un POC attendibile.» Infatti, secondo diverse fonti, il tempo medio che intercorre tra la divulgazione di una vulnerabilità e la comparsa di exploit POC funzionanti si aggira intorno ai 10-14 giorni. Per questo motivo, CTI adotta la misura proattiva di avviare e mantenere attive ricerche volte a individuare la comparsa di exploit POC progettati per colpire vulnerabilità zero-day di grande rilevanza come questa, non appena ne veniamo a conoscenza.”
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
