Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium indaga su una nuova campagna che coinvolge il gruppo di ransomware BlackSuit. Successivamente, il team esamina l’evoluzione di AsyncRAT in una complessa rete di fork. Infine, concludiamo con una panoramica su HazyBeacon, una backdoor di tipo “ Windows ” finora non documentata.
Dietro le quinte delle operazioni del ransomware BlackSuit: la doppia minaccia della crittografia e del furto di dati
Un recente post pubblicato sul blog di Cybereason fornisce un’analisi approfondita di una campagna di ransomware denominata “ ” condotta dal gruppo BlackSuit.
Che cos’è il ransomware BlackSuit?
BlackSuit è un'operazione sofisticata di ransomware che si ritiene sia una ridenominazione del gruppo Royal (una costola della famigerata banda Conti), il che denota un elevato livello di maturità operativa e di capacità di minaccia.
Le campagne di BlackSuit combinano l’esfiltrazione dei dati con la crittografia dei file, massimizzando così il controllo sulle vittime.
In che modo BlackSuit si infiltra e si muove all’interno delle reti?
Cybereason ha rilevato che BlackSuit utilizzava strumenti quali PsExec, Cobalt Strike, RDP e rclone per ottenere l’accesso iniziale, muoversi lateralmente e mantenere la persistenza.
In un attacco osservato, PsExec è stato utilizzato per distribuire in remoto i Beacon di Cobalt Strike, mentre il servizio RPC " " è stato impiegato per creare servizi remoti. Si tratta di una tattica poco comune ma degna di nota.
Quali sono le tecniche di comando e controllo (C2) di BlackSuit?
Come sottolinea Cybereason, gli autori degli attacchi fanno ampio ricorso ai comandi , PowerShell e per connettersi alla propria infrastruttura C2 . Gli autori degli attacchi scaricano payload, tra cui Cobalt Strike Beacon e il file binario del ransomware, sia da indirizzi IP esterni che da indirizzi IP interni compromessi, rendendo più difficile il rilevamento.
Questo approccio basato su due fonti complica l'individuazione e mette in evidenza la capacità di adattamento del gruppo.
In che modo BlackSuit intensifica i propri attacchi dopo aver ottenuto l’accesso?
Una volta all’interno di una rete, BlackSuit utilizza il file Rundll32.exe per caricare i beacon di Cobalt Strike e connettersi a domini dannosi. Successivamente, scarica le credenziali tramite LSASS, esfiltra i dati utilizzando un binario rclone rinominato (vmware.exe) ed elimina le copie shadow per impedire il ripristino.
Il gruppo imposta percorsi di esclusione per evitare di crittografare i file fondamentali per il sistema e le proprie richieste di riscatto, rafforzando così il proprio approccio discreto e strategico.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori delle minacce stanno rendendo sempre più labile il confine tra le tattiche del “red team” e le attività legittime, da un lato, e la criminalità informatica nel mondo reale, dall’altro, come dimostra l’uso da parte di BlackSuit di strumenti legittimi quali rclone e Cobalt Strike.
Ciò che è interessante di questo gruppo è la sua discendenza, che risale da Conti a Royal fino a BlackSuit. Questo tipo di rebranding e adattamento è comune tra i gruppi di autori di minacce e rende l’attribuzione particolarmente complessa.
L’aumento dei fork di AsyncRAT nel malware open source
Secondo ESET, il trojan open source per l’accesso remoto AsyncRAT si è evoluto in una complessa rete di varianti, ciascuna delle quali presenta caratteristiche specifiche.
Analizzando la sua genealogia e la varietà dei suoi plugin, i ricercatori mettono in evidenza la capacità di adattamento di AsyncRAT e la minaccia persistente che esso rappresenta per la sicurezza informatica.
Che cos’è AsyncRAT e perché è oggetto di così tanti fork?
La versione originale di AsyncRAT è stata pubblicata su GitHub nel 2019. È dotato di funzionalità quali la registrazione dei tasti, la cattura dello schermo, il furto di credenziali e molto altro ancora.
Poiché il malware è open source, è molto diffuso tra gli autori di minacce e ha dato origine a numerosi fork. Questi rami sono collegati tra loro dalle classi di crittografia personalizzate utilizzate dal malware.
ESET rileva che, sebbene AsyncRAT condivida alcuni componenti crittografici con Quasar RAT — quali le classi identiche Aes256 e Sha256 — non si tratta di un fork diretto, bensì di una riscrittura completa. La sua architettura modulare e i miglioramenti in termini di occultamento lo rendono più elusivo e più difficile da Detect, il che contribuisce alla sua popolarità tra gli autori delle minacce.
In che modo ESET identifica le varianti di AsyncRAT in circolazione?
ESET ha utilizzato una serie di metodi per identificare e classificare i campioni. Il modo più semplice per identificare questi fork era esaminare la configurazione del malware.
Per la maggior parte dei campioni, ESET ha riscontrato che il campo “versione” nella configurazione risultava utile, in quanto conteneva il nome stesso del fork oppure quello dell’autore del malware. In alcuni casi quel campo era vuoto e i ricercatori hanno dovuto cercare altrove indizi quali il valore “Salt” per la crittografia.
ESET ha inoltre raccolto ulteriori informazioni analizzando il certificato utilizzato per l’autenticazione del server C2 , che in alcuni casi era possibile ricondurre al fork precedente.
In che modo sono collegate le varianti di AsyncRAT, quali DcRAT e VenomRAT?
Secondo ESET, le varianti di AsyncRAT più diffuse sono DcRAT e VenomRAT.
DcRAT è stato sviluppato sulla base di AsyncRAT, introducendo funzionalità e capacità aggiuntive, mentre si ritiene che VenomRAT abbia tratto ispirazione da DcRAT.
Oltre a queste, sono in circolazione anche numerose varianti meno note, che ESET analizza in modo più approfondito.
Cosa rende degne di attenzione le varianti meno note di AsyncRAT?
ESET ha individuato diverse varianti meno note di AsyncRAT che presentano funzionalità che vanno oltre il comportamento standard di un RAT, tra cui:
SantaRATBoraRATNonEuclid RATScreamer.dllPiano.dllService.dllMaps.dllWormUsb.dll
Mentre alcune, come SantaRAT e BoraRAT, sembrano essere varianti create per scherzo, altre — quali Screamer.dll e WormUsb.dll — presentano plugin distintivi, quali i diffusori “ USB ” e payload originali.
Questi esempi mettono in luce la flessibilità del framework open source di AsyncRAT e la creatività, talvolta persino l’umorismo, della sua comunità di utenti.
Per chi fosse interessato a un’analisi tecnica più approfondita, vale sicuramente la pena leggere il rapporto completo di ESET.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La ricerca condotta da ESET è davvero illuminante. Si è parlato molto di come le varianti derivino da altri malware, ma constatare quanti fork esistano a partire da un unico trojan AsyncRAT permette davvero di comprendere appieno la portata del fenomeno.
Il numero elevato di fork di AsyncRAT rappresenta una sfida per gli esperti di sicurezza, poiché il rilevamento basato sulle firme può avere difficoltà a stare al passo con l’evoluzione del panorama. Questa ricerca mette inoltre in luce la natura ambivalente del software open source, che può rivelarsi eccellente per la collaborazione, ma che consente anche ad alcuni soggetti di trasformare tali strumenti in armi con estrema facilità.
Altre rassegne CTI dedicate ad AsyncRAT
AsyncRAT è emerso in diverse campagne di attacchi monitorate dal team Cyber Threat Intelligence di Tanium. Per ulteriori approfondimenti su come venga utilizzato in combinazione con altri malware e sull’uso improprio delle infrastrutture, vi invitiamo a consultare i seguenti articoli del blog:
- AsyncRAT, il malware PikaBot e i server MS SQL sotto attacco (Pubblicato il 18 gennaio, 2024): Si evidenzia una nuova campagna che diffonde AsyncRAT tramite pagine di phishing e loader JavaScript offuscati, oltre alla distribuzione di PikaBot e allo sfruttamento dei server MS SQL
- L’unità informatica del Dipartimento di Giustizia (DOJ) indaga sulle minacce sponsorizzate dagli Stati (Pubblicato su 27 giugno, 2023): Analizza la presenza di AsyncRAT in campagne collegate ad attori statali e all’uso improprio delle infrastrutture, compresi i bucket scaduti di AWS S3
- Gli attacchi ransomware ESXiArgs prendono di mira VMware (Pubblicato su 14 febbraio, 2023): Si analizza l’utilizzo di AsyncRAT nelle attività preliminari all’attacco ransomware e il suo ruolo nelle campagne che prendono di mira i server ESXi non aggiornati VMware
Restate sintonizzati per i futuri aggiornamenti del CTI e le analisi dettagliate delle campagne, mentre il nostro team continua a monitorare AsyncRAT e le sue varianti in continua evoluzione nel panorama delle minacce.
Il malware HazyBeacon sfrutta il servizio Lambda di AWS per svolgere attività di spionaggio governativo in modo occulto
Palo Alto ha recentemente scoperto una nuova backdoor Windows , denominata HazyBeacon, che illustra la tendenza crescente degli aggressori a sfruttare le infrastrutture cloud-native per operazioni di infiltrazione C2 .
Questo malware è collegato al cluster di minacce CL-STA-1020 , che prende di mira enti governativi nel Sud-Est asiatico, con particolare attenzione alla raccolta di informazioni.
Abuso degli URL Lambda di AWS per attività di comando e controllo occulte
HazyBeacon si avvale di AWS Lambda, un servizio di elaborazione serverless che esegue codice in risposta a eventi senza richiedere il provisioning o la gestione di server. Nel 2022 sono stati introdotti gli URL Lambda per ampliare tale funzionalità, consentendo agli sviluppatori di richiamare le funzioni Lambda tramite endpoint HTTP. Tuttavia, questa comodità è stata strumentalizzata dagli autori di attacchi, che ora utilizzano gli URL Lambda come canali C2 .
Incorporando l’attività di beaconing all’interno di un traffico cloud dall’aspetto legittimo, gli autori degli attacchi possono mimetizzare le comunicazioni dannose tra le normali operazioni aziendali, rendendo il rilevamento notevolmente più difficile.
Distribuzione invisibile tramite sideloading di DLL e servizi persistenti
Per infiltrarsi nei sistemi, HazyBeacon utilizza una tecnica di sideloading delle DLL denominat , volta a mascherare una DLL dannosa come una libreria legittima Windows al fine di eseguire il proprio payload.
Una volta eseguito, si connette all’ endpoint Lambda controllato dall’autore dell’attacco. Per garantire la propria persistenza, il malware installa un servizio denominato “ Windows” con il nome msdnetsvc.
Raccolta mirata di file e tentativi di esfiltrazione basati sul cloud
Uno dei payload principali, igfx.exe, è un file Collector che comprime i file di destinazione in base alle estensioni specificate e agli intervalli di tempo indicati. L'attore suddivide quindi l'archivio in parti più piccole per procedere all'esfiltrazione. Sono stati utilizzati strumenti quali , GoogleGet.exe e per tentare di caricare file su Google , Drive e Dropbox, sebbene tali operazioni siano state infine bloccate.
Operazioni di pulizia successive all’esfiltrazione volte a ridurre al minimo il rischio di rilevamento
Al termine della fase di raccolta dei dati, l’autore dell’attacco ha eseguito comandi di pulizia per cancellare i payload e gli archivi, riducendo al minimo le tracce forensi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'utilizzo degli URL Lambda di AWS per la comunicazione C2 evidenzia come i servizi cloud vengano sempre più sfruttati dagli autori delle minacce per mascherare attività dannose all'interno di infrastrutture affidabili, rendendo meno efficaci le tradizionali difese basate sul perimetro.
HazyBeacon riflette la tendenza generale nelle tattiche delle minacce persistenti avanzate (APT), in cui gli autori stanno abbandonando le infrastrutture statiche a favore di quelle basate sul cloud. Questa attività ribadisce la necessità che gli addetti alla sicurezza adottino strategie di rilevamento maggiormente basate sul comportamento.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
