Per iniziare la rassegna di questa settimana, CTI indaga su AlphaLock, un gruppo russo che forma hacker e monetizza i loro servizi attraverso un programma di affiliazione dedicato. Nel prossimo articolo, CTI analizza un recente avviso congiunto relativo a Rhysida, un ransomware emergente che sta attualmente minacciando diversi settori. CTI conclude con una panoramica su una nuova campagna mirata alle istanze dell’API di Docker Engine esposte pubblicamente.
1. AlphaLock forma gli hacker e monetizza i loro servizi
I ricercatori hanno scoperto un nuovo gruppo di hacker russo denominato “ ” (AlphaLock) (si apre in una nuova scheda) , che gestisce un’organizzazione specializzata nella formazione in materia di pen-testing. Il gruppo è stato scoperto su un canale pubblico di Telegram che ora è privato.
AlphaLock forma gli hacker attraverso corsi online personalizzati. Inoltre, monetizza i propri servizi attraverso un programma di affiliazione dedicato, creando così un mercato completo dedicato alla criminalità informatica.
Il suo modello di business si articola in due parti, ovvero la formazione in materia di test di penetrazione offerta da Bazooka Code e la piattaforma di hacking ALPentest:
- Bazooka Code: La prima parte del loro modello di business riguarda la formazione. Qui offrono agli hacker corsi di formazione online personalizzati denominati “Bazooka Code”. AlphaLock cerca di evitare di presentarsi come un attore malintenzionato o un criminale informatico. Il gruppo sostiene invece di limitarsi a formare dei pen tester.
- Il mercato dell’hacking ALPentest: la seconda parte del modello di business di AlphaLock riguarda il forum del dark web XSS e un programma di affiliazione, attraverso il quale l’azienda intende probabilmente realizzare la maggior parte dei propri profitti. Il loro piano consiste nell’utilizzare hacker appena formati, ovvero i cosiddetti “pen tester”, per creare una piattaforma in cui gli autori delle minacce possano acquistare servizi di test mirati a una specifica organizzazione.
Le versioni beta del nuovo marketplace hanno rivelato che gli autori delle minacce sarebbero in grado di pubblicare un elenco degli obiettivi sui quali desiderano effettuare test di penetrazione. Altri autori di attacchi potrebbero quindi colpire tale obiettivo, pubblicarne le prove e incassare il denaro.
A quanto pare, la piattaforma ha attirato troppa attenzione, costringendo l’autore della minaccia a pubblicare un lungo messaggio in cui si precisa che l’intero programma verrà trasferito su una nuova applicazione di chat decentralizzata denominata Matrix.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
AlphaLock sta lavorando alacremente per affermarsi come marchio, con un corso di formazione online interamente personalizzato e un marketplace. È interessante notare che il gruppo si concentra maggiormente sull’operare come un’azienda piuttosto che concentrarsi esclusivamente sulla sofisticazione tecnica.
Come sottolinea l’ Flare e su Bleeping Computer, ciò si inserisce nell’attuale tendenza alla diversificazione e alla specializzazione dei ruoli che si sta verificando nel mondo della criminalità informatica. Oggi esistono catene di approvvigionamento articolate e complesse che offrono economie di scala ai criminali informatici.
2. È stato pubblicato un nuovo avviso congiunto relativo al ransomware Rhysida
L’FBI (Federal Bureau of Investigation), la CISA (Cybersecurity and Infrastructure Security Agency) e il Multi-State Information Sharing and Analysis Center (MS-ISAC) hanno pubblicato un avviso congiunto in materia di sicurezza informatica per diffondere le informazioni più recenti relative alle attività associate al ransomware Rhysida, denominato “ ” (si apre in una nuova scheda).
Rhysida è un ransomware emergente che prende di mira principalmente i settori dell’istruzione, della sanità, dell’industria manifatturiera, dell’informatica e della pubblica amministrazione.
Accesso iniziale a Rhysida
L'autore del ransomware Rhysida sfrutta servizi remoti accessibili dall'esterno, quali le reti private virtuali (VPN), per ottenere l'accesso iniziale e garantire la persistenza. Spesso tenta di autenticarsi presso i punti di accesso VPN interni utilizzando credenziali compromesse ma valide. Ciò è spesso dovuto alla mancanza di un'autenticazione a più fattori.
L’attore è stato osservato mentre conduceva campagne di phishing di tipo “ ” e sfruttava la vulnerabilità CVE-2020-1472 , che costituisce una grave vulnerabilità di elevazione dei privilegi all’interno del protocollo remoto Netlogon di Microsoft.
Vivere dei frutti della terra
Come molti autori di minacce, Rhysida ricorre alle tecniche “living-off-the-land” nei propri attacchi. Ciò comprende la creazione di connessioni tramite il Protocollo Desktop Remoto (RDP) per il movimento laterale, la configurazione dell’accesso VPN e l’utilizzo di PowerShell. L'attore utilizza comunemente i comandi `ipconfig`, `whoami`, `nltest` e vari comandi di rete per individuare gli ambienti e raccogliere informazioni.
Gli strumenti di Rhysida
Rhysida utilizza diversi strumenti legittimi e disponibili al pubblico nei propri attacchi. Ciò rende più difficile per gli addetti alla sicurezza Detect le attività dannose.
Tra gli esempi figurano:
- di Cmd.exe: l'utilità nativa del prompt della riga di comando.
- PowerShell.exe: uno strumento nativo da riga di comando per l'esecuzione di una sessione Windows PowerShell in una finestra del Prompt dei comandi.
- PsExec.exe: uno strumento della suite PsTools che consente di eseguire processi in remoto.
Tra gli strumenti aggiuntivi figurano, tra gli altri, mstsc.exe, PuTTy.exe e PortStarter.
Esecuzione
Nel corso di un attacco ransomware Rhysida, l’autore ha creato due cartelle nell’unità C:\ denominate “in” e “out”. Queste cartelle fungevano da directory di transito e ospitavano file eseguibili dannosi:
- La cartella “in” conteneva nomi di file che corrispondevano ai nomi degli host presenti nella rete della vittima; si ritiene che tali nomi siano stati importati tramite uno strumento di scansione.
- La cartella "out" conteneva vari file dannosi che erano stati distribuiti per facilitare la crittografia a livello di rete.
Estorsione di dati
Come la maggior parte degli autori di attacchi ransomware odierni, Rhysida mette in atto attacchi di doppia estorsione, richiedendo innanzitutto il pagamento per decriptare i dati e minacciando poi di renderli pubblici qualora la vittima non provveda al pagamento.
Il gruppo invierà la propria richiesta di riscatto sotto forma di file PDF denominato “CriticalBreachDetected”, nel quale si invita la vittima a contattare il gruppo tramite un portale basato su Tor.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Il ransomware Rhysida è in circolazione solo da pochi mesi, ma ha già mietuto circa 50 vittime (si apre in una nuova scheda).
Il gruppo fa ampio ricorso a strumenti legittimi nelle diverse fasi dell’attacco, il che probabilmente gli consente di rimanere inosservato in un ambiente per un periodo più lungo.
È stato inoltre accertato che gli autori dell’attacco Rhysida operano nell’ambito di un servizio RaaS ( ) denominato “ ” (si apre in una nuova scheda), il che rende possibile che in futuro possano emergere ulteriori affiliati di Rhysida.”
3. OracleIV si rivolge alle API pubbliche di Docker Engine
I ricercatori di Cado Security hanno scoperto una nuova campagna che prende di mira le istanze dell’API di Docker Engine esposte pubblicamente.
È stato osservato che alcuni autori di attacchi hanno sfruttato un errore di configurazione per distribuire un container Docker dannoso. Il malware agisce come un agente bot DDoS in grado di sferrare vari attacchi DoS.
Accesso iniziale a OracleIV
Come in molti attacchi simili, l’accesso iniziale è avvenuto tramite una richiesta HTTP POST all’ endpoint a /images/create dell’API di Docker.
Questa azione esegue un comando `docker pull` sull'host per recuperare l'immagine specificata da Docker Hub. A ciò segue un altro comando di avvio del container, utilizzato per avviare un container a partire dall'immagine scaricata.
Il comando utilizzato in questo caso era:POST /v1,43/images/create?tag=latest&fromImage=robbertignacio328832/oracleiv_latest
Immagine DockerHub dannosa
Il comando utilizzato in questo attacco ha recuperato un'immagine denominata oracleiv_latest, che era stata caricata su Docker Hub dall'utente robbertignacio328832.
L'immagine aveva totalizzato oltre 3.000 visualizzazioni quando Cado Security l'ha individuata e sembra essere aggiornata regolarmente. Le ultime modifiche sono state apportate appena tre giorni prima della pubblicazione del loro rapporto.
Cado Security ha analizzato i livelli dell'immagine per individuare i comandi utilizzati dall'autore della minaccia per recuperare il payload dannoso, oracle.sh, e integrarlo nell'immagine risultante. L'immagine includeva ulteriori comandi wget per scaricare una copia di XMRig e un file di configurazione del miner associato.
I ricercatori non hanno rilevato alcuna attività di mining da parte di questo container dannoso, ma la presenza di tali file nell’immagine renderebbe tale eventualità possibile in futuro.
Analisi statica
I ricercatori si sono concentrati sull'analisi del file eseguibile "oracle.sh" incorporato nel container dannoso. L'analisi statica di questo eseguibile ha rivelato un file ELF a 64 bit, collegato staticamente, con le informazioni di debug intatte.
Hanno stabilito che il malware fosse stato scritto in Python e compilato con Cython. Il codice stesso è conciso e dedicato principalmente alle diverse tecniche di attacco DoS.
Analisi dinamica
Il bot si ricollega a un server C2 all’indirizzo sulla porta 40320 prima di eseguire un’autenticazione di base, durante la quale il bot fornisce al C2 le informazioni fondamentali relative all’ambiente e una password predefinita.
Una volta completata con successo l’autenticazione, il C2 invierà continuamente “ping di routine, greetz Oracle IV”. I ricercatori hanno osservato che la botnet viene utilizzata per sferrare attacchi DDoS contro numerosi obiettivi, con una predilezione per gli attacchi di tipo “flood” basati su UDP e su SSL. Sono riusciti a indurre l’agente della botnet a connettersi al loro server “mimic C2 ” per impartirgli comandi e osservarne le attività.
La botnet dispone delle seguenti capacità DDoS:
- UDP: La botnet esegue un attacco UDP flood con pacchetti da 40k byte. Ciò supererà la soglia e causerà una frammentazione, generando un ulteriore carico computazionale.
- UDP_PPS: Questa funzionalità sembra attualmente non operativa.
- SSL: La funzionalità “ SSL ” apre una connessione TCP, invia una grande quantità di dati e quindi chiude la connessione prima di ripetere il processo.
- SYN: Questa funzionalità è identica a quella di SSL.
- HTTPGET: Anche questa funzionalità non è operativa.
- LENTO: Si tratta di un attacco di tipo “slowloris”, in cui l’agente apre diverse connessioni al server e invia ripetutamente piccole quantità di dati per mantenere aperta la connessione.
- FIVEE: un attacco di tipo “flood” UDP con pacchetti da 18 byte, probabilmente parte del protocollo del server FiveM.
- VSE: un attacco UDP flood con pacchetti da 20 byte.
- di OVH: un attacco UDP flood con pacchetti da 8 byte progettato per aggirare la protezione DDoS di OVH.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo attacco dimostra che gli autori delle minacce sono ancora interessati a sfruttare i servizi esposti a Internet configurati in modo errato come mezzo di accesso iniziale e che probabilmente continueranno a farlo.
Cado Security riassume molto bene questa minaccia:
La portabilità garantita dalla containerizzazione consente l’esecuzione di payload dannosi in modo deterministico su tutti gli host Docker, indipendentemente dalla configurazione dell’host stesso. Sebbene OracleIV non sia tecnicamente un attacco alla catena di approvvigionamento, gli utenti di Docker Hub devono essere consapevoli del fatto che nella libreria di immagini di Docker sono effettivamente presenti immagini di container dannose.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
