Questa settimana, CTI analizza una vasta campagna di attacchi basati sul protocollo RDP (Remote Desktop Protocol) collegata all’attore malintenzionato russo Earth Koshchei. A seguire, CTI esamina un nuovo rapporto di Zscaler contenente dettagli tecnici sul malware RiseLoader. Infine, CTI offre approfondimenti fondamentali tratti da un nuovo avviso sul ransomware pubblicato da Corvus Insurance.
1. Il gruppo russo Earth Koshchei lancia attacchi RDP non autorizzati
Un attore malintenzionato russo, identificato come “ ” Earth Koshchei (noto anche come Midnight Blizzard e APT29), ha recentemente condotto una campagna RDP non autorizzata su larga scala utilizzando e-mail di spear-phishing e tecniche di anonimizzazione.
Le e-mail di phishing erano state concepite per indurre i destinatari a utilizzare un file di configurazione RDP dannoso allegato, in modo da consentire all’autore dell’attacco di ottenere il controllo parziale del dispositivo.
Chi è Earth Koshchei?
Si ritiene che il gruppo Earth Koshchei sia finanziato dal Servizio di intelligence estero russo (SVR) e che sia solito condurre campagne di spionaggio.
In “ ottobre 2024 ”, Trend Micro ha osservato che questo attore ha sferrato un attacco RDP non autorizzato contro diversi obiettivi. Questo tipo di attacco consente a un malintenzionato di ottenere il controllo parziale del computer della vittima.
Sia Microsoft che Amazon hanno già attribuito in precedenza questa attività allo stesso autore. Trend Micro sta ora fornendo ulteriori dettagli per approfondire gli indicatori già resi pubblici.
Informazioni sulla campagna RDP non autorizzata
Un attacco RDP non autorizzato prevede diversi elementi, tra cui un relay RDP, un server RDP non autorizzato e un file di configurazione RDP dannoso.
Trend Micro ha rilevato che l’autore dell’attacco inviava e-mail malevole di spear-phishing a enti governativi, forze armate, centri di ricerca e altre agenzie. Qualora una vittima avesse aperto il file, il computer avrebbe tentato di connettersi a un server RDP tramite uno dei 193 relay RDP precedentemente configurati dall’autore dell’attacco.
Trend Micro sottolinea che molte organizzazioni hanno probabilmente bloccato le connessioni RDP in uscita. Tuttavia, vi sono ancora casi in cui ciò avrebbe potuto avere esito positivo.
Il file di configurazione RDP non autorizzato
Trend Micro ha esaminato più da vicino un file di configurazione RDP allegato a un’e-mail nell’ambito di questa campagna e ha scoperto i seguenti dettagli.
- Il nome host specificato nel file fa pensare a un server AWS legittimo, ma è controllato dall'autore della minaccia.
- Il file reindirizzerà le unità locali, le stampanti, gli appunti, ecc. e consentirà l’accesso remoto al computer della vittima.
- L'attacco ha inizio solo quando la vittima tenta di utilizzare il file RDP che le è stato inviato, il che innesca la connessione in uscita verso il sistema dell'autore dell'attacco. In questo caso, l’autore dell’attacco ha utilizzato PyRDP per fungere da server proxy e intercettare la connessione.
- Possono quindi collegare la vittima a un server non autorizzato da loro controllato. Una volta connesso, questo server non autorizzato funge da sessione RDP e sfrutta tale sessione per compiere ulteriori attività dannose.
Livelli di anonimizzazione
Secondo Trend Micro, una caratteristica fondamentale di questo attore è il «ricorso massiccio a livelli di anonimizzazione quali servizi VPN commerciali, TOR e provider di servizi di “ proxy ” residenziali». Gli autori delle minacce ricorrono spesso a questa pratica per mimetizzare il traffico dannoso tra quello normale e previsto.
Trend Micro sostiene che l’autore dell’attacco abbia utilizzato per diverse settimane i nodi di uscita di TOR per controllare oltre 200 indirizzi IP di server VPS e 34 server RDP non autorizzati.
Registrazione del dominio
Si stima che l’attore abbia registrato oltre 200 domini tra agosto e il ottobre 2024. Di questi domini, è stato confermato che 193 erano stati creati per essere utilizzati nella campagna RDP. I settori interessati spaziavano in diversi ambiti, tra cui la pubblica amministrazione, i think tank e le ONG, il settore militare, l’informatica e altri ancora.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo attore ricorre a numerosi livelli di anonimizzazione diffusi nei propri attacchi per agire in modo più discreto. Si ritiene che il loro utilizzo di server RDP non autorizzati sia stato ispirato da un post pubblicato sul blog “ 2022 ” da una società specializzata in sicurezza informatica.
Come sottolinea Trend Micro, questo è un ottimo esempio di come gli autori delle minacce sfruttino strumenti e tecniche esistenti per rendere i propri attacchi più sofisticati, riducendo al contempo lo sforzo richiesto.
2. Zscaler rende noti i dettagli tecnici relativi al malware RiseLoader
Sul blog di Zscaler sono disponibili nuovi dettagli tecnici relativi al malware RiseLoader di .
Il campione è simile al malware RisePro, ma è emerso che possiede funzionalità aggiuntive per quanto riguarda il download e l’esecuzione di payload di seconda fase.
RiseLoader è stato individuato per la prima volta in ottobre 2024 ed è stato osservato mentre diffondeva diversi tipi di malware, tra cui Vidar, Lumma Stealer e altri.
Tecniche anti-analisi
I campioni del malware RiseLoader individuati da Zscaler erano compressi con VMProtect. Questo, unito al fatto che il malware offusca molte delle stringhe importanti presenti nel proprio codice, ne rende più difficile l'analisi.
Zscaler ha individuato diverse stringhe, definite in un array globale ma non utilizzate durante l'esecuzione, relative all'analisi e al debug. Poiché tali elementi non vengono ancora utilizzati in fase di esecuzione, ritengono che questa funzionalità anti-analisi possa essere ancora in fase di sviluppo.
Analisi comportamentale
Il malware inizia creando un meccanismo di esclusione reciproca, o mutex, e gli assegna un nome utilizzando stringhe hardcoded. Se il mutex è già presente nel sistema, il malware non proseguirà. In caso contrario, selezionerà in modo casuale un server C2 da un elenco predefinito e aprirà una connessione con il server.
Comunicazione di rete
Una volta che il malware si sarà connesso al server C2 , attenderà che il server risponda fornendo le chiavi necessarie per le comunicazioni future. Invierà quindi un ID della campagna e altre informazioni al server e attenderà un comando di payload, inviando periodicamente messaggi di keepalive per garantire che la comunicazione rimanga aperta.
RiseLoader vs RisePro
Come già osservato, Zscaler ha accertato che RiseLoader presentava somiglianze con il malware RisePro. Le due principali somiglianze riguardano il protocollo binario personalizzato basato su TCP e la struttura stessa dei messaggi. Zscaler ha inoltre accertato che il processo di inizializzazione di entrambi i malware è simile, sebbene quello di RiseLoader risulti leggermente più semplice.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Un aspetto interessante di questo malware è che si basa sull’inserimento fisso del codice delle informazioni necessarie. Il programma codifica in modo fisso l'elenco dei C2 server e una serie di stringhe da cui ricava il nome del mutex, facilitando così la creazione dei rilevamenti.
Zscaler ritiene che alcune funzionalità volte a eludere l’analisi possano essere ancora in fase di sviluppo; pertanto, esiste la possibilità che il malware modifichi le caratteristiche hardcoded sostituendole con altre più dinamiche.
3. L'attività dei ransomware raggiunge il massimo storico
Secondo un nuovo rapporto di Corvus Insurance, l’attività dei ransomware ha raggiunto il massimo storico nel novembre 2024, con 632 vittime segnalate e elencate sui siti dedicati alle fughe di dati. Si tratta di un valore più che doppio rispetto alla media mensile storica (307 vittime) e rende il mese d novembre 2024 e il mese finora più intenso in termini di attacchi ransomware.
Gruppi di ransomware degni di nota
Secondo Corvus, il recente picco degli attacchi ransomware è attribuibile a diversi gruppi. Tuttavia, vi sono alcuni gruppi specifici che sembrano aver registrato un’impennata nel mese di novembre.
- su RansomHub: il gruppo con il maggior numero di vittime segnalate su un sito dedicato alle fughe di dati nell’ultimo mese è stato RansomHub, con 98 vittime segnalate. Questo gruppo ha ampliato la propria attività in diversi settori, dimostrando una rapida scalabilità.
- Akira: Il secondo principale responsabile, Akira, ha causato 73 vittime sui siti dedicati alle fughe di dati. Come sottolinea Corvus, questo gruppo è noto per la propria adattabilità tecnica, che gli consente di continuare ad avere successo. Le 73 vittime mensili di Akira rappresentano più del triplo della media mensile del gruppo.
Corvus indica inoltre Kill Security, SAFEPAY e Qilin come responsabili del numero record di attacchi registrati nel mese di novembre. Questi cinque gruppi hanno rappresentato complessivamente quasi il 50% di tutti gli attacchi registrati nel mese.
Come hanno inizio gli attacchi ransomware
Corvus ha esaminato più da vicino gli attacchi ransomware per cercare di individuarne gli schemi ricorrenti. Hanno scoperto che il 13% delle vittime i cui dati erano stati pubblicati su siti dedicati alle fughe di dati utilizzava prodotti VPN che sono stati identificati come esposti a un rischio maggiore di violazione. Tale valutazione di alto rischio si basa sui dati storici relativi ai sinistri assicurativi di Corvus.
Corvus ha fatto un ulteriore passo avanti, suddividendo i dati per gruppo di ransomware. Hanno scoperto che il 40% delle vittime elencate sul sito dedicato alla fuga di dati del ransomware RA Group utilizzava VPN ad alto rischio. Sono stati individuati 9 gruppi di ransomware in cui il 25% o più delle vittime elencate utilizzava VPN ad alto rischio.
Inoltre, circa il 6% delle vittime dell’ novembre 2024 utilizzava server Microsoft Exchange non aggiornati. Alcune vittime utilizzavano le versioni 2021 e 2022 , per le quali non sono state rilasciate patch relative alle vulnerabilità ProxyShell.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I due gruppi di ransomware che hanno causato il maggior numero di vittime nel mese di novembre sono entrambi emersi all’inizio di quest’anno, a dimostrazione di quanto rapidamente un nuovo gruppo possa espandersi ed evolversi.
È importante tenere presente che questi dati si basano su informazioni provenienti da siti dedicati alle fughe di dati e potrebbero non rappresentare in modo accurato gli attacchi verificatisi nel corso del mese. Tuttavia, il rapporto mette in luce alcuni dei principali punti di accesso. Il rapporto Corvus indica che le VPN sono potenzialmente ancora un obiettivo primario per gli autori delle minacce, rendendo fondamentale per le organizzazioni garantirne la sicurezza.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi sulle minacce informatiche.
