Questa settimana, CTI presenta i punti salienti dell’ultimo rapporto di Cisco Talos sulle tendenze relative all’ IR, relativo al secondo trimestre del 2024. Successivamente, CTI analizza un recente avviso pubblicato su Microsoft , in cui viene descritto in dettaglio come alcuni gruppi di autori di ransomware stiano sfruttando una vulnerabilità di bypass dell’autenticazione in ESXi di VMware . Infine, CTI esamina l’ultimo rapporto di Palo Alto, che analizza in dettaglio come la registrazione dei domini e gli attacchi alla rete associati a termini relativi alla GenAI abbiano iniziato a evolversi.
1. Cisco Talos pubblica il proprio rapporto sulle tendenze relative a Q2 casi di " IR "
Cisco Talos ha pubblicato il suo ultimo rapporto sulle tendenze relative al " " IR, che tratta vari temi e osservazioni emersi dalle attività svolte nel corso del secondo trimestre del 2024. Il rapporto rivela che il Business Email Compromise (BEC) e il ransomware rimangono le principali minacce, rappresentando complessivamente il 60% dei casi trattati.
Maggiore attenzione rivolta al settore tecnologico
Nel secondo trimestre, il settore tecnologico è stato preso di mira nel 24% degli attacchi, risultando così l’area di maggiore interesse per gli autori delle minacce — davanti al commercio al dettaglio, alla sanità, al settore farmaceutico e ad altri settori verticali.
Cisco Talos ha rilevato un aumento del 30% degli attacchi che hanno interessato il settore tecnologico rispetto al primo trimestre. Sottolineano inoltre che gli autori delle minacce potrebbero considerare le organizzazioni del settore tecnologico come «punti di accesso ad altri settori e organizzazioni, dato il loro ruolo significativo nella fornitura di beni e servizi a un’ampia gamma di settori».
Continua l’impennata del BEC
Come era prevedibile, il BEC continua a rivestire un ruolo piuttosto rilevante. Ciò è in linea con il fatto che nel trimestre in esame è stato riscontrato l’utilizzo di credenziali valide nel 60% delle operazioni, con un aumento del 25% rispetto al trimestre precedente.
Tendenze relative al ransomware
Cisco Talos ha rilevato la presenza di ransomware nel 30% dei propri interventi nel corso del secondo trimestre, con un aumento del 22% rispetto al trimestre precedente.
Inoltre, Cisco Talos ha individuato per la prima volta i gruppi di autori di ransomware Mallox e Underground Team. A ciò si aggiungevano famiglie di ransomware già note, quali Black Basta e BlackSuit.
Cisco Talos rileva che nel 80% dei casi di attacco ransomware “mancava un’adeguata implementazione dell’autenticazione a più fattori (MFA) sui sistemi critici, quali le reti private virtuali (VPN), il che ha contribuito a consentire agli aggressori di ottenere l’accesso iniziale”.
In aumento: gli attacchi mirati ai dispositivi di rete
Oltre all’aumento degli attacchi ransomware, Cisco Talos ha riscontrato un incremento degli attacchi mirati ai dispositivi di rete, che hanno rappresentato il 24% dei casi trattati. Tale attività comprende tecniche quali il "password spraying", la scansione delle vulnerabilità, lo sfruttamento delle vulnerabilità e altro ancora.
Vettori iniziali
L'utilizzo di account validi ma compromessi è stato il metodo principale con cui gli autori delle minacce hanno ottenuto l'accesso iniziale nel secondo trimestre.
Si è registrato un aumento del 25% rispetto al trimestre precedente. Il secondo metodo più diffuso per ottenere l’accesso iniziale è stato lo sfruttamento delle applicazioni accessibili al pubblico.
Vulnerabilità di sicurezza
Le due principali vulnerabilità in materia di sicurezza sono rappresentate dai sistemi vulnerabili o configurati in modo errato e dalla mancanza dell’autenticazione a più fattori (MFA). Questi due punti deboli sono emersi in numerose relazioni sulle tendenze negli ultimi trimestri. I sistemi vulnerabili sono direttamente correlati all’elevato numero di attacchi riusciti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Molti degli aspetti citati nel presente rapporto rappresentano tendenze già in atto nei trimestri precedenti, come ad esempio il fatto che i sistemi vulnerabili e la mancanza dell’autenticazione a più fattori (MFA) costituiscano le principali vulnerabilità in materia di sicurezza.
L’aspetto più interessante è che il settore tecnologico è stato quello maggiormente preso di mira nei loro interventi. Come si evince dal rapporto, gli autori delle minacce prendono sempre più di mira le aziende tecnologiche per ottenere l’accesso ad altre organizzazioni. Tale tendenza è in linea con l’aumento degli attacchi alla catena di approvvigionamento che si sono verificati.
2. I gruppi di ransomware prendono di mira una vulnerabilità di ESXi
Microsoft ha emesso un avviso in cui si segnala che alcuni gruppi di autori di ransomware stanno attivamente sfruttando una vulnerabilità di bypass dell’autenticazione in ESXi VMware.
La vulnerabilità recentemente corretta viene sfruttata per ottenere privilegi elevati e mettere in atto catene di infezione che portano all’installazione di malware e del ransomware Black Basta, noto anche come “ ”.
Informazioni su CVE-2024-37085
La vulnerabilità CVE-2024-37085 è stata individuata dai ricercatori di Microsoft e risolta nelle versioni ESXi 9,0 e U3 su 25 giugno.
Se sfruttata, tale vulnerabilità consente a un autore di attacchi di creare un gruppo denominato “ESX Admins” e di aggiungere un nuovo utente, ottenendo così pieni privilegi di amministratore sull’hypervisor.
Microsoft ha esaminato più da vicino la vulnerabilità e ha scoperto che «VMware : gli hypervisor ESXi collegati a un dominio Active Directory considerano, per impostazione predefinita, che qualsiasi membro di un gruppo di dominio denominato “ESX Admins” disponga di pieni diritti amministrativi».
Aumento degli attacchi mirati agli hypervisor ESXi
Microsoft e molte altre aziende hanno riscontrato, negli ultimi mesi, un aumento degli autori di attacchi ransomware che prendono di mira gli hypervisor ESXi.
Inoltre, vi sono diversi autori di ransomware che attualmente commercializzano strumenti di crittografia per ESXi. Microsoft osserva che il numero di progetti di “ IR ” da loro realizzati che hanno coinvolto hypervisor ESXi è più che raddoppiato negli ultimi tre anni.
Storm-0506 diffonde il ransomware Black Basta
Microsoft ha riportato un esempio di un incidente verificatosi all’inizio di quest’anno, in cui un’organizzazione è stata infettata dal ransomware Black Basta , diffuso da un attore identificato come Storm-0506. L'autore ha sfruttato la vulnerabilità per ottenere un'elevazione dei privilegi sugli hypervisor ESXi.
- Questo attacco ha avuto inizio con un'infezione da QBot.
- L'autore dell'attacco ha quindi sfruttato una vulnerabilità CLFS di tipo " Windows " risalente allo scorso anno per elevare i privilegi su quel dispositivo.
- Sono stati utilizzati altri strumenti per sottrarre le credenziali di amministratore di dominio e spostarsi lateralmente verso altri quattro controller di dominio.
- Dopo aver installato vari meccanismi di persistenza, aver tentato attacchi di forza bruta alle connessioni RDP e aver agito in modo inappropriato con Microsoft Defender, l’autore dell’attacco ha quindi creato il gruppo “ESX Admins” nel dominio.
- A quel punto è stato aggiunto un nuovo utente a questo nuovo gruppo, seguito immediatamente dalla crittografia del file system ESXi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Microsoft rileva che gli attacchi rivolti agli hypervisor ESXi sono in aumento. Si tratta di un fenomeno che i ricercatori hanno osservato nel panorama delle minacce negli ultimi mesi, se non da più tempo, e che probabilmente è destinato a protrarsi nel prossimo futuro.
Microsoft ha individuato tre diverse tattiche utilizzate dagli autori degli attacchi per sfruttare questa vulnerabilità di ESXi denominata “ VMware ” e ha condiviso varie strategie di mitigazione e protezione che vale la pena approfondire.
3. I truffatori sfruttano la GenAI nella registrazione dei domini e negli attacchi alla rete
, con sede a Palo Alto, ha recentemente condotto un’analisi approfondita sull’evoluzione della registrazione dei domini e degli attacchi alla rete associati ai termini relativi alla GenAI.
L’organizzazione ha analizzato i domini registrati contenenti termini correlati a GenAI al fine di individuare eventuali schemi ricorrenti e ha condotto alcuni studi di caso che illustrano diversi tipi di attacchi che sfruttano tali domini.
Registrazione di domini relativi alla GenAI
Palo Alto ha rilevato che, a partire dal novembre 2022, vengono registrati circa 225 GenAI-related domini ogni singolo giorno. Non tutti i domini di nuova registrazione (NRD) sono dannosi o sospetti, pertanto Palo Alto ha fatto del proprio meglio per cercare di distinguere tra i due. I domini classificati nella categoria “sospetti” includono quelli utilizzati per C2, ransomware, malware, , phishing e grayware.
Esaminando più da vicino i domini oggetto di registrazione, Palo Alto ha individuato alcuni modelli testuali. Hanno suddiviso questi modelli in base alle parole chiave, riscontrando che oltre il 72% dei domini utilizza parole chiave associate ad app di intelligenza artificiale molto diffuse. La parola chiave più abusata è stata, in modo schiacciante, “gpt”.
Traffico su DNS relativo alla GenAI
Palo Alto ha inoltre analizzato il traffico verso tali domini per comprenderne l’impatto. Ciò che hanno riscontrato è stata una tendenza generale al rialzo del traffico complessivo relativo alla GenAI, il 35% del quale sembra essere diretto verso domini sospetti.
Caso di studio sull’uso improprio della rete
Palo Alto ha illustrato i vari modi in cui un autore di minacce potrebbe sfruttare l’interesse generale per la GenAI attraverso questi domini di recente registrazione.
Uno dei modi è attraverso la distribuzione di programmi potenzialmente indesiderati (PUP). Nel corso di una campagna, Palo Alto ha individuato 13 domini registrati che contenevano la parola “chatgpt” e che seguivano tutti uno schema di denominazione simile. I visitatori del sito venivano reindirizzati a un servizio proxy che richiedeva all’utente di registrarsi e acquistare crediti per poter proseguire.
Tali domini vengono inoltre utilizzati per la diffusione di spam in generale e per il parcheggio di domini a scopo di lucro. Con il “domain parking” a scopo di lucro, un autore di attacchi registra domini che ritiene possano diventare popolari e generare traffico. Successivamente, collegano i domini a piattaforme di parking monetizzate. In questo modo, ogni visita si traduce in un ricavo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori delle minacce sono noti per sferrare attacchi legati agli argomenti di tendenza — e l’intelligenza artificiale generativa ne è l’ultimo esempio. È probabile che questa tendenza prosegua, dato che il tema dell’IA e dei modelli di linguaggio di grandi dimensioni (LLM) continua a evolversi.
Palo Alto sottolinea che «l’elevata percentuale di domini sospetti tra questi nuovi domini evidenzia la necessità di un rilevamento proattivo degli attacchi alla rete che sfruttano parole chiave legate alla GenAI».
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
