Questa settimana, CTI esamina due gruppi di hacker specializzati in attacchi di tipo “business email compromise” (BEC) , attualmente impegnati in campagne globali e multilingue. Di seguito vi presentiamo un'analisi dettagliata dell'ultima campagna condotta dal gruppo nordcoreano APT37’s (noto anche come ScarCruft o RedEyes), nell'ambito della quale l'autore della minaccia distribuisce un nuovo malware evasivo denominato M2RAT , avvalendosi di un'interessante combinazione di steganografia e sfruttamento delle vulnerabilità nella propria operazione di spionaggio informatico. E, per concludere, chiudiamo con un’analisi dettagliata dell’ultimo attacco sferrato contro un repository di software open source: una campagna che ha comportato la pubblicazione di cinque pacchetti dannosi, tutti contenenti il malware W4SP Stealer, finalizzato al furto di informazioni, sui siti 27 gennaio e 29 gennaio 2023.
1. I gruppi BEC sferrano attacchi multilingue basati sull’usurpazione dell’identità di dirigenti, prendendo di mira aziende in tutto il mondo
Due gruppi specializzati in attacchi di tipo “Business Email Compromise” (BEC) stanno ora utilizzando strumenti di traduzione automatica per facilitare, contemporaneamente e in diverse lingue, frodi relative ai pagamenti e attacchi finalizzati alla distrazione dei fondi destinati alle retribuzioni.
Il BEC rimane una delle minacce informatiche in più rapida crescita e più devastanti dal punto di vista finanziario. L’, secondo le stime dell’FBI (si apre in una nuova scheda), le truffe BEC hanno causato perdite per oltre 43 miliardi di dollari a partire dal 2016 — lo stesso anno in cui gli attacchi BEC sono apparsi per la prima volta (si apre in una nuova scheda) in cima alla classifica dell’FBI dei crimini informatici più costosi negli Stati Uniti. Da allora ha sempre occupato quel posto.
I ricercatori rilevano attacchi mirati e multilingue
Secondo quanto riferito, i ricercatori di Abnormal Intelligence hanno identificato due gruppi che ricorrono all’usurpazione dell’identità dei dirigenti per sferrare attacchi BEC ( ) contro aziende internazionali. (si apre in una nuova scheda) Questi gruppi sono stati identificati dall’azienda come “Midnight Hedgehog” – specializzato in frodi relative ai pagamenti – e “Mandarin Capybara” – un gruppo specializzato in attacchi di dirottamento dei pagamenti salariali.
Complessivamente, questi due gruppi sono responsabili del lancio di campagne BEC in ben 13 lingue diverse, tra cui danese, olandese, estone, francese, tedesco, ungherese, italiano, norvegese, polacco, portoghese, spagnolo e svedese.
TTP osservate
Gli attacchi informatici su larga scala e multilingue rivolti a vittime in tutto il mondo erano un tempo appannaggio degli autori di minacce di prim’ordine. Si trattava di organizzazioni criminali informatiche altamente qualificate e sofisticate, dotate di ingenti budget e con accesso a una notevole quantità di risorse. Infatti, la creazione di diverse versioni convincenti di e-mail in lingue straniere spesso richiedeva a tali gruppi di assumere linguisti o di avvalersi di madrelingua all’interno del proprio organico.
Tuttavia, i recenti progressi tecnologici rendono tale processo molto più semplice e conveniente da implementare. Di conseguenza, gli ostacoli che impedivano ai criminali informatici meno esperti di intraprendere operazioni così ambiziose si sono progressivamente ridotti.
La disponibilità di tecnologie di marketing efficaci e a basso costo, unita alla diffusione di app di traduzione altamente accurate, ha agito da vero e proprio moltiplicatore di forza, consentendo agli autori delle minacce informatiche di ampliare rapidamente la portata delle proprie attività e di condurre campagne finanziariamente devastanti su scala globale. Inoltre, l’avvento dell’ l’apprendimento automatico e l’integrazione di tali tecnologie negli strumenti di traduzione, con l’obiettivo di migliorare il contesto e il realismo, ha reso più facile per gli autori di attacchi manipolare piattaforme basate sull’intelligenza artificiale come ChatGPT (si apre in una nuova scheda) a fini malevoli.
I giocatori
Il rapporto di Abnormal Intelligence si concentra sulle attività di due gruppi BEC multilingue, ciascuno con una propria specializzazione.
Midnight Hedgehog (specializzazione: frodi nei pagamenti a livello globale)
Midnight Hedgehog ricorre principalmente a quella che è ormai diventata una tattica comune nelle truffe di ingegneria sociale a scopo di lucro, avvalendosi di , in cui si finge di essere un dirigente (si apre in una nuova scheda) per indurre i destinatari a effettuare pagamenti per servizi fasulli — solitamente spacciandosi per il CEO di un’azienda.
Gli attori di Midnight Hedgehog sembrano svolgere ricerche approfondite sui compiti e sulle responsabilità associati ai ruoli ricoperti dai loro bersagli. Ottengono un quadro completo del rapporto tra il bersaglio e l’ CEO , al fine di creare account e-mail falsificati estremamente convincenti che imitano quelli reali.
Tali attacchi prendono di mira, in genere, i responsabili finanziari o altri dipendenti di alto livello incaricati di avviare le transazioni aziendali, oppure dipendenti di livello inferiore o privi di esperienza che sono comunque autorizzati a prendere decisioni finanziarie e ad avviare pagamenti per conto dell’organizzazione.
Secondo quanto riferito, l’attività di Midnight Hedgehog risale almeno al gennaio 2021. Gli attacchi hanno avuto origine da account ospitati da una moltitudine di provider di webmail gratuiti quali Gmail, Yandex, Earthlink e Web.de. I domini creati dal gruppo sono stati registrati presso NameCheap o GoDaddy. I dati di Abnormal Intelligence indicano che i membri del gruppo risiedono in diversi paesi, quali il Regno Unito, gli Stati Uniti, il Canada e la Nigeria.
Mandarin Capybara (specializzazione: attacchi di dirottamento dei sistemi di gestione delle retribuzioni a livello globale)
Anche Mandarin Capybara utilizza un’ampia gamma di lingue nei propri attacchi per spacciarsi per dirigenti aziendali. Tuttavia, la differenza principale consiste nel fatto che Mandarin Capybara si dedica alla distrazione dei fondi salariali anziché alla frode nei pagamenti. Ciò comporta rivolgersi ai dipendenti del reparto Risorse Umane e convincerli a modificare le coordinate bancarie per il bonifico diretto associate ai conti sotto il controllo del dirigente, sostituendole con quelle relative a un conto sotto il controllo degli aggressori.
Un’altra differenza tra i due gruppi risiede nei modelli di selezione degli obiettivi di Mandarin Capybara. A differenza di Midnight Hedgehog, che è stato osservato solo mentre prendeva di mira aziende europee con messaggi non in lingua inglese, le vittime di Mandarin Capybara sono distribuite su un’ampia area geografica, con ripercussioni su aziende di tutto il mondo.
Per quanto riguarda le e-mail iniziali inviate da Mandarin Capybara, tali messaggi differiscono di poco da molti dei modelli utilizzati quotidianamente dalle organizzazioni criminali specializzate in BEC per deviare i pagamenti salariali. In genere, l'autore dell'attacco chiede se è possibile aggiornare il proprio conto corrente destinato alla busta paga, affinché le modifiche entrino in vigore prima della prossima data di pagamento.
È interessante notare che Abnormal Intelligence riferisce di aver osservato diversi casi in cui il gruppo ha lanciato una campagna BEC in una lingua, per poi avviare, poco dopo, una seconda campagna dallo stesso account di posta elettronica (seppur in una seconda lingua), rivolta a un’organizzazione diversa.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Da sette anni consecutivi gli attacchi BEC occupano il primo posto tra le forme di criminalità informatica che causano i maggiori danni finanziari.” Pertanto, CTI ritiene che qualsiasi chiarimento che si possa fornire sulla metodologia di questa particolare categoria di criminali informatici costituisca un’informazione preziosa — in particolare quando riguarda gruppi come questi, che dimostrano una propensione all’innovazione e un comprovato desiderio di impiegare tattiche, tecniche e procedure (TTP) innovative.”
«Purtroppo, non esiste alcun fornitore né alcuna soluzione tecnica in grado, da sola, di proteggere voi e la vostra azienda dagli attacchi BEC. Tuttavia, storie come quella sopra riportata evidenziano l’importanza sempre crescente di una formazione e di un’attività di sensibilizzazione in materia di ingegneria sociale che siano solide, basate sui ruoli, mirate e svolte con regolarità.”
2. Gli hacker di RedEyes utilizzano un nuovo malware per sottrarre dati da Windows e dai telefoni
Un recente rapporto di , intitolato “ ” (si apre in una nuova scheda), redatto dall’AhnLab Security Emergency Response Center (ASEC), analizza in dettaglio la campagna APT37’s . La campagna APT37, nota anche come RedEyes, impiega un nuovo malware evasivo M2RAT e la steganografia nella propria campagna di spionaggio informatico.
APT37 is Un gruppo nordcoreano finanziato dallo Stato, denominato “ ” (si apre in una nuova scheda) , che conduce campagne di spionaggio informatico almeno dal 2012. In passato, il gruppo ha preso di mira vittime in Corea del Sud, Giappone, Vietnam, Russia, Nepal, Cina, India, Romania, Kuwait e in altre zone del Medio Oriente. È noto che il gruppo sottragga informazioni dai PC personali e dati dai telefoni cellulari di determinati individui.
Panoramica della campagna
In questo attacco, APT37 sfrutta una vecchia vulnerabilità dell’EPS (CVE-2017-8291 (si apre in una nuova scheda)), insieme alla steganografia per distribuire codice dannoso.
La vulnerabilità sfruttata nell'attacco risale a molto tempo fa ed è stata nel frattempo risolta. Sembra che l’autore dell’attacco abbia tentato l’azione sapendo che la persona in questione utilizzava una versione obsoleta e fosse quindi vulnerabile. Il nuovo malware individuato nell’ambito della campagna è stato denominato M2RAT (Map2RAT) in base al nome della sezione di memoria condivisa utilizzata nell’attacco.
Le funzioni principali del modello M2RAT sono il keylogging, la fuga di dati, l’esecuzione e la chiusura dei processi e la cattura dello schermo. La backdoor non memorizza i dati relativi al keylogging e alle registrazioni delle schermate sul sistema della vittima, ma li invia al server C2 dell’autore dell’attacco per non lasciare tracce sul sistema.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il modello M2RAT utilizzato in questa campagna presenta alcune caratteristiche interessanti. Particolarmente degno di nota è l’utilizzo di una sezione di memoria volta a ridurre al minimo gli scambi con il C2. Questa caratteristica rende l’analisi ancora più complessa per i ricercatori di sicurezza, costringendoli ad analizzare anche quella sezione di memoria per ottenere un quadro completo dei comandi utilizzati dal malware. L’impiego di questo malware da parte di APT37’s dimostra chiaramente la sua capacità di aggiornare continuamente il proprio arsenale di strumenti con nuovi malware, al fine di impedire che le sue campagne siano facilmente individuabili.”
3. Gli sviluppatori sono stati presi di mira dal malware W4SP Stealer tramite pacchetti PyPI dannosi
In un ulteriore esempio della moltitudine di minacce che gravano sulla catena di approvvigionamento del software open source, i ricercatori di sicurezza di Fortinet (si apre in una nuova scheda) hanno individuato “diversi nuovi attacchi 0-day nei pacchetti PyPI (Python Package Index) ad opera dell’autore di malware ‘Core1337’, il quale ha pubblicato i seguenti pacchetti: ‘3m-promo-gen-api’, ‘Ai-Solver-gen’, ‘hypixel-coins’, ‘httpxrequesterv2’ e ‘httpxrequester’.”
Gli attacchi sono stati resi noti in un breve lasso di tempo compreso tra il 10 gennaio e il 27-29. Ciascuno dei pacchetti dannosi conteneva W4SP Stealer (si apre in una nuova scheda), ovvero un malware finalizzato al furto di informazioni.
Dettagli dell'attacco
Sono stati individuati cinque pacchetti dannosi nel repository PyPI, un repository di software destinato a ospitare pacchetti creati nel linguaggio di programmazione Python. L'obiettivo è consentire agli sviluppatori di individuare pacchetti esistenti che soddisfino i vari requisiti del progetto, consentendo loro di risparmiare tempo e fatica.
I pacchetti sono stati rimossi dopo la loro scoperta, ma non prima che centinaia di sviluppatori avessero scaricato il software dannoso. Secondo i ricercatori di Fortinet, ogni pacchetto presentava una sola versione e una descrizione vuota, e tutti contenevano codice dannoso simile.
L'analisi di Fortinet ha permesso di stabilire che, una volta installati, tali pacchetti tentano di sottrarre le password salvate nei browser, nei cookie e nei portafogli di criptovalute. BleepingComputer ha confermato che il tipo di malware finalizzato al furto di informazioni contenuto nei pacchetti dannosi è il W4SP Stealer — una variante di malware di questo tipo che è stata ampiamente utilizzata in campagne che prevedono l’iniezione di pacchetti software dannosi nei repository di software open source (in particolare PyPI (si apre in una nuova scheda)).
W4SP Ladro
Secondo BleepingComputer, il malware sottrae dati da browser quali Chrome, Opera ed Edge. Successivamente, tenta di estrarre i cookie di autenticazione da Discord, Discord Canary, Discord PTB e dal client LightCord. Successivamente, il malware tenterà di sottrarre i portafogli di criptovalute Atomic Wallet ed Exodus, nonché i cookie relativi al gioco “The Nations Glory”.
Il malware prende inoltre di mira un elenco di siti web per recuperare qualsiasi altra informazione sensibile relativa agli utenti che potrebbe potenzialmente aiutare gli autori degli attacchi a sottrarre gli account.
I siti interessati includono, a titolo esemplificativo ma non esaustivo, i seguenti:
- Coinbase.com
- Gmail.com
- YouTube.com
- Instagram.com
- PayPal.com
- Telegram.com
- Hotmail.com
- Outlook.com
- Aliexpress.com
- ExpressVPN.com
- eBay.com
- Playstation.com
- Xbox.com
- Netflix.com
- Uber.com
Una volta raccolti dati sufficienti dall’host compromesso, il malware carica le informazioni sottratte tramite un webhook di Discord, pubblicandole sul server dell’autore dell’attacco.
Secondo BleepingComputer, «i webhook di Discord consentono agli utenti di inviare messaggi contenenti file a un server Discord e vengono spesso utilizzati in modo improprio per sottrarre file, token di Discord e altre informazioni».
Come se ciò non bastasse, i ricercatori di Fortinet hanno inoltre rilevato l’esistenza, all’interno di W4SP , di funzioni che analizzano i file alla ricerca di determinate parole chiave; qualora ne individuassero, il malware tenta di sottrarle tramite il servizio di trasferimento file “transfer.sh”. Tali parole chiave riguardano principalmente i servizi finanziari: password bancarie, dati relativi a PayPal, informazioni sulle criptovalute e file relativi all’autenticazione a più fattori (MFA) di .
Alcune di queste parole chiave sono anche in francese, il che indica una possibile regione di provenienza dell’autore o degli autori della minaccia all’origine dell’attacco.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questo attacco dimostra un certo grado di efficacia. Un autore di malware è riuscito a pubblicare con successo diversi pacchetti, tutti con nomi diversi ma contenenti codice simile progettato per sferrare attacchi, nella maggior parte dei casi utilizzando un unico script Python e i webhook di Discord. Ciò dovrebbe costituire l’ennesimo promemoria del fatto che i repository di software open source come PyPI non sono affatto immuni dagli abusi e sono ancora ben lontani dall’essere sufficientemente protetti.”
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
