Nella rassegna di questa settimana, CTI presenta i punti salienti del rapporto “Threat Horizons” di Google Cloud relativo al terzo trimestre del 2023. In seguito, CTI indaga sull’attore statale nordcoreano BlueNoroff e sul suo collegamento con un malware per macOS finora non documentato, denominato ObjCShellz. CTI offre inoltre una panoramica su Predator AI, un nuovo strumento di furto di dati e hacking basato su Python che prende di mira i servizi cloud.
1. Google Cloud pubblica il proprio rapporto “ Q3 Threat Horizons”
Google È ora disponibile l’ultimo rapporto di Cloud intitolato “ : Threat Horizons” (si apre in una nuova scheda) relativo al terzo trimestre del 2023 , che offre analisi e raccomandazioni specifiche per il cloud elaborate dai team di intelligence e sicurezza dell’azienda.
È importante sottolineare che il rapporto mette in guardia dalla presenza di diversi attori malintenzionati che condividono un exploit pubblico di tipo “proof-of-concept” (PoC) che sfrutta il servizio di calendario di Google per ospitare infrastrutture C2 .
Gli autori delle minacce prendono di mira i dati dei servizi SaaS ospitati nel cloud
Man mano che le organizzazioni continuano ad adottare soluzioni SaaS ospitate nel cloud, la superficie di attacco a disposizione degli autori delle minacce continua ad ampliarsi. Negli ultimi mesi, Google ha rilevato che alcuni autori di minacce hanno fatto ricorso a una serie di tattiche per accedere ai sistemi SaaS ospitati nel cloud ed estrarne i dati. Google sta inoltre rilevando attacchi in cui gli autori delle minacce sfruttano più di un sistema alla volta.
Utilizzo improprio di un calendario di Google per ospitare l'infrastruttura C2
Il rapporto sottolinea inoltre come gli autori delle minacce stiano ricorrendo sempre più spesso a servizi cloud legittimi per ospitare infrastrutture dannose. Ciò è in parte dovuto al fatto che i servizi di cloud pubblico offrono un’infrastruttura economica e affidabile di cui le imprese si fidano. Gli autori delle minacce utilizzano i servizi di cloud pubblico per mimetizzarsi all’interno di grandi volumi di traffico legittimo ed eludere il rilevamento.
For several years, threat actors have abused cloud-based storage to host campaign infrastructure, deliver malware, act as malware C2, and upload exfiltrated data. L'uso improprio del calendario " Google " rappresenta l'ultima tendenza emergente. Il giugno 2023, uno sviluppatore indipendente ha pubblicato su GitHub un codice di prova di concetto relativo al “RAT ‘Google ’ per Calendar”. Google Non ha ancora riscontrato in circolazione questo RAT denominato “ Google Calendar”, ma ha rilevato che diversi autori di minacce lo stanno condividendo su forum clandestini, il che indica chiaramente un certo livello di interesse.
Questo strumento utilizza gli eventi del Calendario di Google per C2 scopi diversi. Consente a un autore di minacce di inserire comandi nel campo della descrizione degli eventi del calendario. Il RAT del calendario di Google verifica periodicamente la descrizione degli eventi del calendario alla ricerca di nuovi comandi, li esegue e aggiorna la descrizione dell’evento con l’output del comando.
Lo sviluppatore del malware sostiene che esso comunichi esclusivamente tramite infrastrutture legittime di tipo “ Google ” per eludere il rilevamento.
Abusi di typosquatting sulle piattaforme di archiviazione cloud
Gli autori delle minacce stanno evolvendo le proprie tattiche per includere attacchi di typosquatting contro piattaforme di archiviazione cloud quali Google Cloud Storage, Amazon S3 e Azure Blob.
I nomi degli spazi di archiviazione cloud sono univoci a livello globale tra i vari fornitori di servizi cloud, ma non sono specificatamente associati a un’organizzazione. Per questo motivo, un autore di attacchi può falsificare il nome di un’azienda qualora il nome di un bucket sia disponibile. Allo stesso modo, qualora non fosse disponibile l’ortografia esatta del nome di un’azienda, un autore di attacchi potrebbe ricorrere a un attacco di tipo “typosquatting”. Da un’indagine condotta da Google è emerso che circa il 60% delle organizzazioni presentava uno o più URL di servizi di archiviazione cloud oggetto di typosquatting.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La scoperta del PoC RAT “ Google Calendar”, sebbene non sia stato ancora rilevato in ambiente reale, dimostra chiaramente il perdurante interesse nell’utilizzare in modo improprio i servizi cloud per mimetizzarsi nel traffico legittimo.
Il rapporto di Google prosegue illustrando varie tecniche, tattiche e procedure (TTP) utilizzate per compromettere gli ambienti cloud. Ciò che risulta interessante è che i loro dati indicano che le vittime nel cloud non subiscono attacchi particolarmente complessi o avanzati, ma che tali attacchi sono spesso il risultato di TTP comuni e ben noti. Ciò aiuta i responsabili della sicurezza e i professionisti del settore a capire dove concentrare in via prioritaria gli sforzi di rilevamento.
2. BlueNoroff compromette i computer macOS con il malware ObjCshellz
I ricercatori di Jamf Threat Labs attribuiscono all’attore statale nordcoreano BlueNoroff (si apre in una nuova scheda) l’utilizzo di un malware per macOS finora non documentato denominato ObjCShellz. Il malware viene utilizzato nell’ambito della campagna di malware RustBucket, venuta alla luce per la prima volta nell’articolo “ aprile 2023”.
Scoperta e contesto
Jamf ha recentemente individuato una nuova variante di malware denominata ObjCShellz (si apre in una nuova scheda), che ha attribuito al gruppo APT BlueNoroff. Si ritiene che BlueNoroff sia un’entità subordinata al Gruppo Lazarus e che tenda a compiere attacchi a scopo di lucro. L'attore attacca spesso società di capitale, banche e piattaforme di scambio di criptovalute.
Jamf ha individuato la nuova variante di malware nel corso di un’attività di ricerca proattiva delle minacce. In questo caso, ha individuato un file binario universale Mach-O che comunicava con un dominio precedentemente identificato come dannoso. Al momento della sua scoperta, il file eseguibile non era stato identificato come dannoso su VirusTotal.
Il file binario, denominato ProcessRequest, è stato firmato in modo ad hoc ed è stato rilevato mentre comunicava con swissborg[.]blog. The malware splits the C2 URL into two separate strings that get linked together to evade static detection. Questo dominio è in linea con altre attività precedentemente associate a BlueNoroff — in particolare la campagna “ ” di RustBucket: (si apre in una nuova scheda).
L’associazione “RustBucket” di BlueNoroff
Nella campagna RustBucket, l’autore dell’attacco contatta la vittima fingendo di essere interessato a una collaborazione o di volerle proporre un’opportunità, presentandosi come investitore o cacciatore di teste.
BlueNoroff crea quindi un dominio che sembra appartenere a una società di criptovalute legittima, al fine di mimetizzarsi con l’attività di rete attendibile. Il dominio swissborg è in linea con tale attività, poiché swissborg è utilizzato da una piattaforma di scambio di criptovalute legittima.
Il dominio swissborg[.]blog è stato creato nel maggio 2023 e ha rivelato l’esistenza di diversi URL aggiuntivi utilizzati per la comunicazione del malware. Il dominio rimanda inoltre a un indirizzo IP che era stato precedentemente associato a un malware utilizzato da BlueNoroff.
Dettagli tecnici
- Il malware è scritto in Objective-C. Si tratta di una shell remota piuttosto semplice, il cui scopo è quello di eseguire i comandi della shell inviati dal server di attacco.
- Al momento non è possibile confermare l'accesso iniziale, poiché il malware viene utilizzato in una fase successiva per eseguire manualmente dei comandi dopo che il sistema è stato compromesso.
- Il malware si differenzia dagli altri tipi presenti nella campagna RustBucket, ma sembra comunque fornire una funzionalità di base di shell remota.
- Una volta eseguito, il malware richiamerà una funzione denominata sendRequest per inviare un messaggio POST all’indirizzo URL, predefinito nel codice. Successivamente, raccoglie informazioni sul processo del malware stesso prima di determinare la versione di macOS.
- La funzione principale del programma consiste nell'inizializzare un'istanza della classe ProcessRequest prima di impostare un timer ricorrente. Il timer attiverà il metodo `sendRequest` a intervalli regolari per garantire che vengano effettuate richieste di rete periodiche.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo malware sembra avere funzionalità limitate: offre una semplice shell remota ed esegue i comandi della shell che riceve. Data la sua semplicità e la scarsità di dati disponibili riguardo all’accesso iniziale, si ritiene che venga utilizzato come malware di fase avanzata su un sistema già compromesso.
Detto questo, è importante comprendere le varie TTP che BlueNoroff utilizza abitualmente. Acquisendo familiarità con le sue TTP, è possibile individuare attività dannose ben prima che ObjCShellz venga distribuito.
3. Un programma di furto di dati basato su ChatGPT prende di mira le piattaforme cloud
I ricercatori hanno scoperto un infostealer basato su Python (si apre in una nuova scheda) e uno strumento di hacking denominato Predator AI che prende di mira i servizi cloud.
Lo sviluppatore di Predator AI ha integrato nello script Python una classe basata su ChatGPT per rendere lo strumento più facile da utilizzare e fungere da interfaccia testuale unica tra le diverse funzionalità. L’infostealer non sembra ancora pronto per l’uso in ambiente operativo, ma illustra come gli autori delle minacce stiano iniziando a integrare in modo concreto l’intelligenza artificiale per migliorare i propri flussi di lavoro.
Che cos’è Predator AI?
Predator AI viene pubblicizzato su vari canali Telegram dedicati all’hacking. Il suo scopo principale è quello di facilitare gli attacchi di tipo “ App ” sul web contro una serie di tecnologie, quali i sistemi di gestione dei contenuti e i servizi di posta elettronica basati sul cloud, come il Simple Email Service (SES) di Amazon . Si tratta di uno strumento multifunzionale che è tuttora in fase di sviluppo attivo.
Dettagli tecnici su Predator AI
- Predator è un'applicazione Python con oltre 11.000 righe di codice.
- Funziona tramite un'interfaccia grafica basata su Tkinter. Non è prevista una modalità autonoma con interfaccia a riga di comando, il che lo distingue da molti altri strumenti simili.
- Lo script contiene 13 classi globali definite che raggruppano diverse funzionalità. Ciò comprende l’aumento delle dimensioni di un file, la creazione di falsi messaggi di errore, la realizzazione di un infostealer sotto forma di file PE di tipo “ Windows ”, l’invio di richieste all’API di OpenAI e altro ancora.
- Gli attacchi di tipo “ App ” di Predator cercano punti deboli comuni, configurazioni errate e vulnerabilità. Si rivolge a tecnologie quali Drupal, Joomla, Laravel, Magento, OpenCart, osCommerce, PrestaShop, vBulletin e WordPress.
La classe GPTj
La classe GPTj contiene le effettive funzionalità dell'IA di Predator. Questa funzionalità è un'interfaccia di elaborazione testuale simile a una chat che consente all'utente di accedere alle funzionalità di Predator. Cerca soluzioni locali prima di interrogare l'API di OpenAI, al fine di ridurre il consumo dell'API.
La classe GPTj analizza l'input fornito dall'utente alla ricerca di stringhe associate a un caso d'uso noto. Sentinel One ha individuato oltre 100 casi in cui Predator ha gestito i dati sia internamente sia tramite un servizio gratuito di terze parti. La classe contiene inoltre alcune utilità parzialmente implementate relative sia a AWS SES che a Twilio, oltre a utilità per raccogliere informazioni su indirizzi IP e numeri di telefono. Predator effettuerà una richiesta all'API di ChatGPT solo qualora non vi siano casi di test in grado di gestire l'input ricevuto.
AWS caratteristiche
Questa utilità fondamentale è attualmente presente all’interno dello script. Tuttavia, non sono disponibili tutte le funzioni relative a " AWS". Sentinel One ritiene che ciò sia probabilmente dovuto al fatto che tali funzionalità sono ancora in fase di sviluppo.
Lo script analizzerà i dati in ingresso per verificare la presenza di aws.c e, qualora fosse presente, richiamerà le seguenti funzioni:
- Verifichi tutti gli account di posta elettronica in un ambiente SES AWS .
- Verifichi le quote di invio.
- Creare un nuovo account, assegnare i privilegi di amministratore ed eliminare il vecchio account.
Informazioni sulla classe StealerBuilder
La classe StealerBuilder contiene le variabili di configurazione necessarie per creare un infostealer. Il mese scorso lo sviluppatore ha pubblicato un video in cui illustrava in dettaglio il processo di creazione di questo programma di furto di dati. Lo sviluppatore ha inoltre confermato che il file eseguibile è del tutto impossibile da rilevare.
Lo stealer può essere configurato per utilizzare i webhook di Discord o di Telegram per le sue comunicazioni C2 .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La comparsa di qualcosa come Predator AI non è affatto una sorpresa, vista l’attenzione che circonda l’IA e i modelli di linguaggio di grandi dimensioni (LLM).
Sebbene questo strumento rappresenti un passo avanti verso una maggiore diffusione dell’intelligenza artificiale da parte degli autori delle minacce, Predator AI è solo parzialmente funzionante. Come sottolinea Sentinel One, allo stato attuale l’integrazione non aumenta in modo sostanziale le capacità di un malintenzionato.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
