Il primo argomento trattato nella rassegna di questa settimana è un’analisi di un’innovativa nota informativa congiunta sulla sicurezza informatica relativa al malware Snake — descritto come lo strumento di spionaggio informatico più sofisticato mai sviluppato dal Centro 16 del Servizio Federale di Sicurezza (FSB) russo. Di seguito, CTI analizza un rapporto di Meta che rivela un aumento dei malware che si spacciano per ChatGPT sulle sue piattaforme. Infine, CTI analizza un avviso sulle minacce pubblicato da Cisco Talos che descrive in dettaglio una nuova piattaforma di phishing-as-a-service (PhaaS) denominata Greatness, che prende di mira le organizzazioni che utilizzano “ Microsoft 365”.
1. La CISA pubblica un avviso congiunto sulla sicurezza informatica che descrive in dettaglio l’operatività del malware Snake
L’Agenzia per la sicurezza informatica e delle infrastrutture (CISA) ha pubblicato un rapporto congiunto sulla sicurezza informatica redatto in collaborazione con il Dipartimento di Giustizia (DoJ), l’FBI, la NSA, la Cyber National Mission Force (CNMF) dell’USCYBERCOM, il Centro nazionale per la sicurezza informatica (NCSC) del Regno Unito, il Centro australiano per la sicurezza informatica (ACSC), il Centro canadese per la sicurezza informatica e il Centro nazionale per la sicurezza informatica della Nuova Zelanda.
Il rapporto fornisce informazioni di base approfondite sul malware “ ” (si apre in una nuova scheda), descritto come “lo strumento di spionaggio informatico più sofisticato progettato e utilizzato dal Centro 16 del Servizio federale di sicurezza russo (FSB)”.
I successivi comunicati stampa della NSA e del Dipartimento di Giustizia descrivono gli sforzi interagenzia delle organizzazioni sopra elencate volti a identificare e smantellare l’infrastruttura operativa di Snake.
Che cos’è il malware Snake?
Secondo BleepingComputer, Snake è stato inizialmente monitorato con il nome di Uroburos (si apre in una nuova scheda); lo sviluppo sarebbe iniziato già alla fine del 2003 e le prime versioni definitive dell’implant sarebbero state completate all’inizio dell’anno successivo. Ben presto sono seguiti attacchi di spionaggio che utilizzavano tale malware, attribuiti a hacker sostenuti dallo Stato russo.
La CISA attribuisce la sofisticatezza di Snake a tre aspetti principali.
- Snake raggiunge un livello eccezionale di occultamento nei componenti che lo ospitano e nelle comunicazioni di rete.
- L'architettura tecnica interna di Snake consente di integrare facilmente componenti nuovi o di ricambio. Ciò facilita inoltre lo sviluppo e l'interoperabilità delle istanze di Snake in esecuzione su diversi sistemi operativi host. Gli autori hanno individuato impianti Snake interoperabili progettati per colpire i sistemi operativi Windows, MacOS e Linux .
- Snake è un esempio di progettazione e implementazione accurata nell’ambito dell’ingegneria del software. L'impianto presenta pochissimi difetti.
A rafforzare la notevole efficacia dell’impianto contribuisce la capacità dei suoi sviluppatori FSB di implementare rapidamente nuove funzionalità e tecniche in risposta alle informazioni di dominio pubblico relative alle tattiche, alle tecniche e alle procedure (TTP) di Snake.
Gli autori del parere congiunto indicano le continue modifiche apportate a Snake come un ostacolo ricorrente all’identificazione e alla raccolta di Snake e dei relativi artefatti — il che, in ultima analisi, frena qualsiasi serio tentativo di creare sistemi di rilevamento affidabili da integrare con strumenti di difesa basati sull’host e sulla rete.
La creazione di un implant di spionaggio informatico efficace e sorprendentemente duraturo come Snake dipende principalmente dalla sua capacità di mantenere l’invisibilità nel lungo periodo. Il malware di questo calibro è progettato per campagne di spionaggio che prevedono la permanenza sul sistema bersaglio, senza essere individuato, per mesi o addirittura anni, al fine di garantire un accesso costante a informazioni di intelligence di grande valore e di agevolarne la raccolta e l’esfiltrazione.
Alla luce di ciò, Snake rappresenta il risultato “di una sofisticazione senza pari” di un’iniziativa determinata dell’FSB, volta a garantire l’accesso sotto copertura a obiettivi di alto valore per periodi di tempo indefiniti, a sostegno delle esigenze di intelligence (IR).
Chi è responsabile del malware Snake?
I coautori del parere congiunto attribuiscono le operazioni “Snake” a “un’unità nota appartenente al Centro 16 dell’FSB”.
Oltre a Snake, secondo quanto riferito, questa unità avrebbe accesso a vari altri elementi del set di strumenti che si ritiene appartengano al famigerato gruppo di hacker Turla, sostenuto dalla Russia. Snake è stato regolarmente utilizzato nel loro arsenale di strumenti, a dimostrazione del notevole impatto che tale strumento ha su molteplici aspetti delle attuali operazioni informatiche dell’FSB.
Il documento afferma che Snake ha rappresentato una componente fondamentale delle operazioni del Centro 16’s praticamente da quando l’unità opera sotto l’egida dell’FSB.
Vittimologia del malware Snake
Nel corso delle indagini sono state individuate infrastrutture collegate all’operazione in oltre 50 paesi in Nord America, Sud America, Africa, Europa, Asia e Australia — compresi gli Stati Uniti e la Russia.
Sono state colpite organizzazioni con sede negli Stati Uniti operanti in diversi settori verticali, tra cui l’istruzione, le imprese private, i media e i settori definiti come infrastrutture critiche, quali le strutture governative, i servizi finanziari, l’industria manifatturiera e le comunicazioni.
Dal comunicato congiunto:
Sebbene Snake si avvalga di infrastrutture presenti in tutti i settori, il suo approccio mirato è di natura strategica e tattica. Ad esempio, se un sistema infetto non rispondeva alle comunicazioni di Snake, gli attori dell’FSB lo reinfezionavano strategicamente nel giro di pochi giorni. A livello globale, l’FSB ha utilizzato Snake per raccogliere informazioni riservate da obiettivi di alta priorità, quali reti governative, strutture di ricerca e giornalisti.
Metodologia Snake
Una dichiarazione giurata dell’ (si apre in una nuova scheda) e un mandato di perquisizione (si apre in una nuova scheda) rivelano che le agenzie governative statunitensi hanno monitorato Snake e il malware e le operazioni ad esso correlate per gran parte degli ultimi 20 anni — uno sforzo che ha incluso il controllo ravvicinato degli hacker di Turla mentre distribuivano Snake da una struttura dell’FSB in Russia.
Queste e altre iniziative congiunte hanno fornito informazioni significative sull’architettura di Snake, nonché su altri strumenti e TTP utilizzati nel corso delle operazioni che hanno visto l’impiego di tale malware.
Dal comunicato congiunto:
L’FSB di norma distribuisce Snake sui nodi dell’infrastruttura esposti verso l’esterno all’interno di una rete e, da lì, utilizza altri strumenti e TTP sulla rete interna per condurre ulteriori operazioni di sfruttamento. Una volta ottenuto e consolidato l’accesso alla rete di destinazione, l’FSB procede in genere all’enumerazione della rete e si adopera per ottenere le credenziali di amministratore e accedere ai controller di dominio. È stata impiegata un’ampia gamma di meccanismi per acquisire le credenziali di utenti e amministratori al fine di espandersi lateralmente all’interno della rete, tra cui keylogger, sniffer di rete e strumenti open source.
Le operazioni sono rese possibili dagli hacker dell’FSB, che effettuano una ricognizione preliminare della rete — mappando le reti e ottenendo le credenziali necessarie per i domini degli obiettivi.
Snake è talmente efficace come strumento di raccolta di informazioni che era raro che i suoi operatori ricorressero a implant aggiuntivi “pesanti”; si affidavano invece principalmente a strumenti interni leggeri di accesso remoto e, occasionalmente, a piccole shell inverse remote per facilitare le funzioni interattive di Snake.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Se non altro, le rivelazioni contenute nell’avviso congiunto e nei vari comunicati stampa dell’ (si apre in una nuova scheda) relativi allo smantellamento dell’infrastruttura globale di malware di Snake da parte di un team composto da agenzie multinazionali di sicurezza informatica e forze dell’ordine servono a ricordare con forza due cose:
- In primo luogo, gli hacker e gli sviluppatori di malware sostenuti dallo Stato russo operano a un livello che rivaleggia con quello di molti dei principali produttori di software attualmente attivi. Ciò risulta evidente dalla complessità, dalla longevità e dall’estrema efficacia di Snake.
- In secondo luogo, è evidente che l’ Community e dei servizi di intelligence statunitensi stia adottando una posizione più aggressiva nei confronti dei criminali informatici (sostenuti dallo Stato o meno) che operano dal territorio straniero.”
2. Gli hacker utilizzano esche basate su ChatGPT per diffondere malware su Facebook
Meta, la società madre di Facebook, sta rilevando un aumento (si apre in una nuova scheda) del malware che si spaccia per ChatGPT sulle proprie piattaforme.
Dal marzo 2023, il team di sicurezza di Meta ha individuato 10 famiglie di malware che utilizzano ChatGPT e altri temi legati all’intelligenza artificiale per diffondere malware. Tra queste famiglie di malware figurano Ducktail e
NodeStealer prende di mira le vittime tramite estensioni dannose per il browser, annunci pubblicitari e varie piattaforme di social media.
Di seguito sono riportati alcuni punti chiave:
- Negli ultimi mesi, Meta ha condotto indagini e adottato misure contro diverse varianti di malware che sfruttavano l’interesse del pubblico per ChatGPT e per le funzionalità legate all’intelligenza artificiale. Gli ultimi tentativi rilevati da Meta non hanno preso di mira solo Facebook, ma hanno coinvolto anche servizi di condivisione file quali Dropbox, Google Drive, Mega, MediaFire, Discord, Trello di Atlassian, OneDrive e iCloud per ospitare malware.
- In un caso rilevato da Meta, l’autore dell’attacco ha creato estensioni dannose per il browser, rese disponibili negli store online ufficiali, che dichiaravano di offrire strumenti basati su ChatGPT. Queste estensioni per browser sono state poi pubblicizzate sui social media e tramite risultati di ricerca sponsorizzati per indurre le vittime a scaricare malware.
- In alcuni casi, le estensioni includevano funzionalità legittime di ChatGPT insieme al malware. In risposta a ciò, Meta ha impedito la condivisione su tutte le proprie piattaforme di oltre 1.000 URL dannosi unici relativi a ChatGPT.
Che cos’è il malware Ducktail?
Il malware Ducktail è in circolazione già da un po’ di tempo ed è progettato per sottrarre i cookie del browser e sfruttare le sessioni Facebook non autenticate. Si rivolge inoltre a LinkedIn per indurre le vittime, tramite tecniche di ingegneria sociale, a scaricare malware e sfrutta i servizi di file hosting per ospitare il proprio malware.
Nel corso degli anni, Meta ha monitorato e bloccato diverse versioni di Ducktail. Nell’ultima versione, gli operatori di Ducktail hanno iniziato a concedere automaticamente i permessi di amministratore aziendale alle richieste relative ad azioni pubblicitarie inviate dagli autori degli attacchi, nel tentativo di accelerare le proprie operazioni.
Che cos’è la variante di malware denominata NodeStealer?
Meta ha recentemente individuato e neutralizzato una nuova variante di malware denominata NodeStealer. gennaio 2023 ha rilevato, tramite il proprio team di sicurezza, la presenza di un malware che prende di mira i browser Internet sui dispositivi Windows , con l’obiettivo di sottrarre i cookie e i nomi utente e le password salvati. NodeStealer è un malware JavaScript personalizzato che si ritiene sia di origine vietnamita.
Meta è intervenuta per neutralizzare NodeStealer, presumibilmente entro due settimane dalla sua messa in funzione. Hanno presentato numerose richieste di rimozione a registrar di terze parti, fornitori di servizi di hosting e servizi applicativi che erano stati presi di mira da tali autori delle minacce. Secondo Meta, tali azioni hanno consentito di neutralizzare con successo il malware.
NodeStealer viene solitamente diffuso sotto forma di file PDF o Excel camuffato, dotato dell’icona e del nome file legittimi appropriati, al fine di indurre gli utenti ad aprire il file dannoso.
Il suo obiettivo è quello di sottrarre le password memorizzate e le informazioni relative alle sessioni di Cookie dai browser basati su Chromium. Il malware prende di mira i browser Chrome, Opera, Microsoft Edge e Brave per ottenere tali informazioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’interesse del pubblico nei confronti di ChatGPT e delle tecnologie legate all’intelligenza artificiale continua a crescere, per cui è del tutto naturale che gli autori delle minacce si stiano impegnando a fondo per trarre vantaggio da questo crescente interesse.»
"Meta sostiene di aver neutralizzato la famiglia di malware NodeStealer e, sebbene si tratti certamente di un risultato positivo, è solo questione di tempo prima che si verifichi la prossima attività informatica legata a ChatGPT."
3. È emerso in rete un nuovo strumento di phishing-as-a-service
Cisco Talos ha pubblicato un avviso sulle minacce in cui viene descritta in dettaglio una nuova piattaforma di phishing-as-a-service (PhaaS) denominata “ ” (si apre in una nuova scheda) denominata “Greatness”.
È stato osservato che questa piattaforma prende di mira le organizzazioni che utilizzano Microsoft 365, con numerose vittime situate negli Stati Uniti. Il servizio include funzionalità che precompilano l’indirizzo e-mail della vittima e visualizzano automaticamente il logo aziendale e l’immagine di sfondo appropriati, estratti dalla pagina di accesso reale dell’organizzazione Microsoft 365 .
Il kit di phishing opera in sinergia con l’API Greatness per richiedere informazioni alla vittima e tenta di effettuare l’accesso alla pagina 365 del sito legittimo Microsoft in tempo reale.
Che cos’è la piattaforma Greatness PhaaS?
Il nome “Greatness” è stato rilevato in numerose campagne di phishing diverse almeno dalla metà del 2022, con picchi registrati nei domini dicembre 2022 e marzo 2023. Incorpora funzionalità simili a quelle presenti in alcune delle offerte PhaaS più avanzate di , tra cui l’autenticazione a più fattori (MFA) il bypass, il filtraggio degli indirizzi IP e l’integrazione con i bot di Telegram.
Al momento, lo strumento si concentra sulle pagine " Microsoft 365 " e mette a disposizione dei propri affiliati uno strumento per l’inserimento di allegati e la creazione di link, al fine di realizzare pagine di accesso altamente convincenti. Come già sottolineato in precedenza, è in grado di precompilare l’indirizzo e-mail della vittima e di visualizzare automaticamente il logo aziendale e l’immagine di sfondo appropriati, che sono stati estratti dalla pagina di accesso legittima. Ciò rende Greatness una piattaforma allettante per gli autori di minacce che intendono effettuare attacchi di phishing ai danni degli utenti aziendali.
Gli affiliati che utilizzano Greatness devono implementare e configurare un kit di phishing fornito insieme a una chiave API, il che consente anche agli autori di minacce meno esperti di sfruttare il servizio. Il kit di phishing e l’API fungono da " proxy " (intercettatore) nei confronti del sistema di autenticazione Microsoft 365 , effettuando un attacco "man-in-the-middle" per sottrarre le credenziali di autenticazione o i cookie della vittima.
Il Greatness PhaaS è costituito da tre componenti, tra cui un kit di phishing contenente il pannello di amministrazione, l’API del servizio e un bot di Telegram o un indirizzo e-mail.
Attività e vittimologia
- Sembra che “Greatness” abbia fatto la sua comparsa a metà del 2022, con picchi registrati nei file “ dicembre 2022 ” e “marzo 2023”, secondo il numero di campioni di allegati disponibili su VirusTotal.
- Ciascuna campagna osservata presenta un ambito geografico leggermente diverso. Tuttavia, oltre il 50% di tutti gli obiettivi aveva sede negli Stati Uniti.
- Greatness è stato progettato per compromettere gli utenti di Microsoft 365 , rendendo il numero potenziale di vittime molto elevato. In base alla ricerca condotta da Cisco Talos, i settori manifatturiero, sanitario e tecnologico sono stati quelli maggiormente presi di mira da Greatness.
Uno sguardo alla sequenza di attacco “Greatness”
Il flusso di attacco di una campagna che coinvolge Greatness ha inizio quando una vittima riceve un’e-mail dannosa. Queste e-mail contengono solitamente un file HTML in allegato e inducono la vittima ad aprirlo.
Quando la vittima apre il file HTML, il browser web eseguirà un breve frammento di codice JavaScript offuscato per stabilire una connessione con il server dell’autore dell’attacco. Tale connessione consente a Greatness di ottenere il codice HTML della pagina di phishing e di visualizzarlo all’utente nella stessa finestra del browser. Il codice contiene un'immagine sfocata e una rotellina che gira, dando l'impressione che il documento sia in fase di caricamento. La pagina reindirizzerà la vittima a una pagina di accesso a Microsoft 365 in cui sono già inseriti l’indirizzo e-mail della vittima e lo sfondo/logo personalizzato corrispondente utilizzato dalla sua azienda.
Dopo che la vittima ha inserito la propria password, Greatness tenta di effettuare l’accesso a Microsoft 365 utilizzando le credenziali della vittima. Se la vittima ha attivato l'autenticazione a più fattori (MFA), il servizio le chiederà di effettuare l'autenticazione.
Quando il servizio riceve la richiesta di autenticazione a più fattori (MFA), continua a impersonare la vittima in modo invisibile, completando la procedura di accesso e raccogliendo i cookie di sessione autenticati. Il contenuto viene quindi inviato al partner del servizio tramite il suo canale Telegram o direttamente tramite il pannello web.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’aspetto più interessante del Greatness PhaaS è che non si limita al semplice furto di credenziali, come nel caso del phishing tradizionale. Greatness invia in tempo reale le credenziali rubate alla pagina di accesso ufficiale di Microsoft , consentendo all’autore dell’attacco di accedere immediatamente all’account della vittima."
"Non sono ancora disponibili molte informazioni sull’aspetto delle esche contenute nelle e-mail di Greatness, ma CTI fornirà aggiornamenti man mano che emergeranno ulteriori dettagli."
Ha qualche riflessione su queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”.
