Nella rassegna di questa settimana, CTI esamina Intel471’s analisi recenti relative ad attacchi che combinano il phishing vocale e quello via e-mail. Successivamente, CTI esamina l’analisi condotta d Mandiant su 138 vulnerabilità sfruttate, originariamente rese note nel 2023. È inoltre inclusa una sintesi dell’analisi condotta da Flashpoint sull’infostealer PureLogs che prende di mira il browser Chrome .
Gli autori delle minacce diffondono malware tramite il phishing di callback
Intel471 ha pubblicato la propria analisi sugli attacchi che combinano il phishing vocale e quello via e-mail — una strategia nota come “callback phishing”, “vishing ibrido” o “telephone-oriented attack delivery” (TOAD).
Secondo Intel471, questo tipo di attacchi è aumentato, parallelamente a una maggiore domanda di servizi TOAD da parte degli autori delle minacce.
Che cos’è il “callback phishing”?
Un attacco tipico ha inizio con un’e-mail di phishing che invita il destinatario a chiamare un numero di telefono specifico. L’esca di ingegneria sociale “ ” utilizzata in queste campagne può variare, ma tutte mirano a indurre la vittima a mettersi in contatto telefonico con un malintenzionato per portare a termine l’attacco.
I dati più recenti indicano che gli attacchi di phishing tramite richiamata stanno diventando sempre più frequenti. Proofpoint ha recentemente rivelato, nell’ambito dello studio “ ”, che ogni mese si verificano 10 milioni di attacchi TOAD, che colpiscono circa il 67% delle organizzazioni a livello globale.
Aumento della domanda
Parallelamente all’aumento di questi attacchi, molti autori di minacce intendono estendere la propria attività agli attacchi TOAD.
Intel471 ha individuato oltre 50 attori alla ricerca di destinatari da coinvolgere nella loro catena di attacchi. Alcuni di questi operatori cercavano chiamanti che parlassero lingue specifiche.
Attacchi ransomware e TOAD
Un numero crescente di autori di attacchi ransomware di tipo “ ” sta ricorrendo a servizi legati a TOAD per i propri attacchi. Tali servizi possono rivelarsi utili nella fase iniziale di accesso dei loro attacchi.
Il documento Intel471 afferma che «la maggior parte degli operatori di ransomware cerca una collaborazione a lungo termine con coloro che gestiscono le richieste di riscatto e offre compensi mensili nonché quote dei pagamenti dei riscatti, il che indica che tali servizi sono molto apprezzati tra gli autori delle minacce coinvolti nel ransomware».
Guadagno economico
Questo tipo di attacchi viene solitamente perpetrato da soggetti che mirano a ottenere un guadagno economico. Gli attacchi di phishing tramite richiamata che vanno a buon fine possono generare ingenti somme di denaro sia per l’autore dell’attacco che per il chiamante.
Uno di questi servizi di chiamate, CrimeTalk, addebita 10 dollari a chiamata. Il Intel471 ha inoltre rilevato un autore di minacce alla ricerca di chiamanti che parlassero italiano, offrendo 5.000 dollari al giorno.
Servizi
Alcuni attori adottano modelli di offerta dei propri servizi di carattere più commerciale. Un esempio è il servizio M00N dedicato allo spamming e al phishing via e-mail, che offre diverse modalità per l’invio di e-mail di phishing.
Un altro servizio, il Quattr0, propone varie chiamate fraudolente, tra cui chiamate a banche, servizi di consegna, negozi online e altro ancora. Questo gruppo sostiene di poter effettuare chiamate verso qualsiasi paese, ad eccezione della Russia.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori degli attacchi stanno integrando sempre più spesso le tecniche, tattiche e procedure (TTP) di phishing di tipo “callback” nelle loro operazioni, come dimostra l’elevato numero di offerte di servizi correlati presenti sul mercato clandestino.
Molte organizzazioni includono nei propri corsi di formazione sulla sicurezza informatica consigli e suggerimenti di base su come identificare le e-mail di phishing, ma è probabile che non tutte forniscano informazioni utili sui tipi di phishing più ibridi, come quelli che prevedono la richiamata telefonica.
Il rapporto Intel471’s costituisce un utile promemoria per le organizzazioni affinché rivedano i propri programmi di formazione sulla sicurezza informatica, al fine di garantire che includano informazioni su come identificare le più recenti truffe di phishing.
Mandiant analizza le tendenze relative al tempo necessario per lo sfruttamento delle vulnerabilità
Mandiant ha analizzato 138 vulnerabilità sfruttate che erano state originariamente rese note nel 2023.
Tra i punti salienti figuravano:
- Il 70% delle vulnerabilità è stato sfruttato come zero-day
- Il tempo medio necessario per la realizzazione di un exploit è stato di soli cinque giorni
- Microsofte, Apple e Google sono stati i fornitori più colpiti
Tempo necessario per lo sfruttamento (TTE)
Mandiant utilizza il Time-to-Exploit, o TTE, per definire il tempo medio necessario per sfruttare una vulnerabilità prima o dopo il rilascio di una patch.
Il TTE ha registrato un calo negli ultimi anni, e la flessione più marcata si è verificata proprio nell’ultimo anno. Nel 2021-2022, il TTE era di 32 giorni, ma nel 2023 l’ Mandiant e ha osservato una media di soli cinque giorni.
Zero-day contro n-day
Quest’anno, Mandiant ha rilevato un rapporto di 30:70 nel confronto tra gli “n-day” (vulnerabilità sfruttate dopo la disponibilità delle patch) e gli “zero-day” (vulnerabilità sfruttate prima della disponibilità delle patch), il che evidenzia un aumento costante dello sfruttamento degli “zero-day” rispetto agli ultimi anni.
Mandiant è emerso che il rischio di sfruttamento era maggiore nel primo mese successivo al rilascio di una patch relativa a una vulnerabilità già resa nota. Mandiant ha inoltre rilevato che il 12% degli n giorni è stato sfruttato nell’arco di un solo giorno, mentre oltre la metà di essi è stata sfruttata nell’arco di un mese.
Cronologia degli abusi
Mandiant ha inoltre riferito che il 30% delle vulnerabilità è stato sfruttato per la prima volta dopo che la vulnerabilità era stata resa nota al pubblico.
Analizzando le vulnerabilità per le quali erano disponibili exploit prima che se ne osservasse lo sfruttamento, Mandiant ha individuato un intervallo mediano di sette giorni a partire dalla data di divulgazione dell’exploit pubblico.
Per le vulnerabilità per le quali sono disponibili exploit dopo che ne è stato osservato l’utilizzo, è stata individuata una mediana di 15 giorni dalla divulgazione.
Vulnerabilità sfruttate dal fornitore
Mandiant ha suddiviso ogni vulnerabilità per fornitore. Hanno riscontrato un aumento del 17% rispetto al precedente record di fornitori più colpiti, osservando che Microsoft, Apple e Google sono ormai da alcuni anni i fornitori più colpiti.
Sembra che gli autori degli attacchi stiano ora diversificando i propri obiettivi; secondo il rapporto “ Mandiant ” si registra infatti un aumento del numero complessivo di fornitori oggetto di attacchi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La definizione delle priorità nell’applicazione delle patch sta diventando incredibilmente complessa, poiché le vulnerabilità vengono sfruttate ogni anno con sempre maggiore rapidità.
Pertanto, la gestione delle patch relative alle vulnerabilità deve essere integrata con sistemi efficienti di rilevamento e risposta, al fine di adattarsi in tempo reale.
La loro analisi indica inoltre che gli attacchi “zero-day” stanno diventando sempre più diffusi, il che è in linea con le recenti tendenze nel panorama delle minacce.
PureLogs è destinato al browser Chrome
Flashpoint ha recentemente condotto un’indagine sull’infostealer PureLogs, che sta prendendo di mira attivamente il browser Chrome per sottrarre informazioni sensibili. Attualmente solo poche altre famiglie di malware sono in grado di raccogliere dati dal browser Chrome , il che rende questa minaccia degna di particolare attenzione.
Flashpoint ha rilevato oltre 53 milioni di credenziali compromesse e 13 milioni di dispositivi infetti a causa dell’attività di infostealer nel 2024. Questo malware è comparso per la prima volta nel 2022 e da allora è sempre stato in circolazione. Il suo prezzo contenuto rispetto ad altri programmi di furto di dati contribuisce probabilmente a favorirne l’uso continuativo.
Che cos’è PureLogs?
Il malware di tipo infostealer denominato PureLogs è scritto in C#. Come molte altre famiglie di malware, si avvale di diverse fasi di assemblaggio.
Il malintenzionato tenta di sottrarre dati sensibili dal browser Chrome; come sottolinea Flashpoint, si tratta di una caratteristica “comune solo a pochi malware, quali Lumma, Vidar e Meduza”.
Il malware è presente sia sui mercati clandestini che sulla rete pubblica, dove dispone di un proprio mercato dedicato. PureLogs è attualmente uno degli infostealer più economici presenti sul mercato, il che lo rende ancora più allettante per gli autori delle minacce.
Oltre al malware finalizzato al furto di informazioni, l’autore offre anche l’accesso a un miner di criptovalute, a strumenti di sostituzione degli appunti, a una botnet e a un client nascosto per il Virtual Network Computing.
Come funziona PureLogs?
Fase uno
La prima fase consiste nel caricamento e nell'esecuzione. Questa fase contiene un array di byte che verrà decrittografato tramite l'algoritmo AES.
Sia la chiave AES che il valore iniziale sono hardcoded come stringhe codificate in formato Base64 . Il file binario viene decompresso, con il risultato che una DLL in C# viene caricata ed eseguita in memoria.
Fase due
La fase due effettuerà dei controlli anti-sandbox prima di caricare effettivamente l’assembly finale dell’infostealer. Si inizia verificando l'esistenza delle DLL attualmente caricate nel processo. Verificherà inoltre il PPID del processo, poiché quest’ultimo non dovrebbe essere presente, dato che l’assembly è progettato per essere caricato dinamicamente nella memoria del processo originale.
Vengono eseguite diverse query WMI per ottenere informazioni sull'hardware e verificare la presenza delle stringhe “VMware” o “Virtual”. Il malware verificherà le dimensioni dello schermo, l'architettura a 32 o 64 bit e il nome utente per stabilire se è in esecuzione all'interno di una macchina virtuale. In caso contrario, stabilirà una connessione con il suo C2. Una volta stabilita questa connessione, il sistema procederà alla decrittografia, alla decompressione e all’esecuzione della fase finale.
Fase tre
Durante la terza e ultima fase, PureLogs mira ad acquisire dati tramite attività di furto:
- Dati di navigazione
- Estensioni per Chrome, Edge e Opera
- Applicazioni per portafogli di criptovalute
- Applicazioni desktop
- Informazioni sulla macchina
Il malware può essere ulteriormente configurato per acquisire cartelle, file in base all’estensione o file in base al nome e alla posizione. Gli attori hanno inoltre la possibilità di scaricare ed eseguire payload aggiuntivi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come sottolinea Flashpoint, il panorama delle minacce informatiche è invaso da numerosi programmi di furto di informazioni. Gli autori delle minacce ricorrono agli infostealer come metodo rapido e semplice per ottenere informazioni sensibili che possono vendere o utilizzare per ulteriori attività illecite.
Poiché vi è una vasta scelta di programmi per il furto di informazioni, la barriera all’ingresso è notevolmente bassa. Gli attori hanno ora a disposizione una vasta gamma di funzionalità e caratteristiche tra cui scegliere.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Taniume per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
