Questa settimana, CTI analizza un avviso congiunto sulla sicurezza informatica ( 2 marzo 2023) emanato dalla Cybersecurity and Infrastructure Security Agency (CISA) e dal Federal Bureau of Investigation (FBI), incentrato sulla crescente minaccia che la più recente variante del ransomware Royal rappresenta per diversi settori. Di seguito, analizzeremo in dettaglio l’ultima ricerca di Check Point, incentrata sul gruppo di spionaggio informatico Sharp Panda e sul modo in cui esso sta sfruttando una nuova versione del proprio framework di backdoor/malware Soul nella sua ultima campagna. Infine, esaminiamo la variante di IceFire recentemente scoperta, un ceppo di ransomware di tipo “big-game-hunting” che in precedenza era noto solo per essere stato impiegato contro ambienti “ Windows ”, ma che recentemente è emerso con una variante specifica per “ Linux”.
1. L’FBI e la CISA pubblicano l’avviso congiunto sulla sicurezza informatica #StopRansomware: Royal Ransomware
Un avviso congiunto sulla sicurezza informatica “ ” (si apre in una nuova scheda) pubblicato dalla CISA e dall’FBI avverte che i criminali informatici stanno compromettendo organizzazioni statunitensi e internazionali con una variante del ransomware Royal che utilizza un proprio programma di crittografia dei file creato su misura; si tratta di una versione che si è evoluta rispetto alle precedenti iterazioni che utilizzavano “Zeon” come loader. La situazione si protrae ormai da circa settembre 2022.
Ecco i punti salienti:
- Dopo aver ottenuto l’accesso alle reti delle vittime, gli autori dell’attacco Royal disattivano i software antivirus ed estraggono grandi quantità di dati prima di procedere infine all’installazione del ransomware e alla crittografia dei sistemi presi di mira.
- Gli autori dell’attacco “Royal” hanno avanzato richieste di riscatto che vanno da circa 1 milione a 11 milioni di dollari USA in Bitcoin.
- Gli autori del "Royal" non includono gli importi del riscatto né le istruzioni di pagamento nella richiesta iniziale. Al contrario, il messaggio, che compare dopo la crittografia, richiede alle vittime di interagire direttamente con l’autore dell’attacco tramite un’ URL “.onion”, accessibile esclusivamente tramite il browser Tor.
- Gli autori dell’attacco ransomware Royal hanno preso di mira numerosi settori delle infrastrutture critiche, tra cui quello manifatturiero, delle comunicazioni, sanitario e dell’assistenza sanitaria pubblica (HPH), nonché quello dell’istruzione.
In che modo gli attori della Royal ottengono l’accesso alle reti
Secondo le agenzie di segnalazione, gli autori del fenomeno “Royal” ottengono l’accesso iniziale alle reti delle vittime in diversi modi, tra cui:
sul phishing: nel 66,7% dei casi, gli autori degli attacchi Royal riescono a ottenere l’accesso iniziale alle reti delle vittime tramite e-mail di phishing che raggiungono il loro obiettivo. Le vittime hanno installato inconsapevolmente un malware che diffonde il ransomware Royal dopo aver ricevuto e-mail di phishing contenenti documenti PDF dannosi e pubblicità.
sul protocollo RDP (Remote Desktop Protocol): oltre il 13% degli incidenti riguarda violazioni del protocollo RDP, rendendolo il secondo vettore più comune utilizzato dagli attori di Royal.
Applicazioni accessibili al pubblico: L’FBI ha inoltre rilevato che gli autori degli attacchi Royal ottengono l’accesso iniziale sfruttando applicazioni accessibili al pubblico.
dei broker: gli attori di tipo “Royal” potrebbero avvalersi dei broker per ottenere un accesso iniziale e generare traffico, estraendo le credenziali delle reti private virtuali (VPN) dai log dei programmi di furto di dati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Molte bande di autori di ransomware e altre organizzazioni criminali informatiche mosse da motivazioni economiche hanno iniziato ad abbandonare il modello di estorsione basato sulla crittografia, a favore di attacchi di estorsione veri e propri.»
«Sono diversi i fattori che hanno contribuito a questo cambiamento metodologico. Ad esempio, il ransomware è evidente, individuabile e complesso, mentre le trattative possono rivelarsi lunghe e estenuanti e, in molti casi, non portare ad alcun pagamento o a un pagamento notevolmente ridotto. “La situazione è stata aggravata dalle normative federali e dai cambiamenti nelle polizze delle compagnie assicurative specializzate nel settore informatico.”
“Detto questo, il presente avviso congiunto relativo all’attività del ransomware Royal serve a ricordare che esistono numerose minacce ransomware tradizionali, sebbene sempre più spesso queste adottino nuove metodologie e TTP, quali le tattiche “living-off-the-land” (LotL), l’utilizzo di strumenti legittimi per eludere il rilevamento e l’adozione di nuovi framework C2 . Stanno inoltre sfruttando le collaborazioni con famiglie di malware di grande successo , quali QBot , per finalità che vanno dall’assistenza nell’accesso iniziale all’utilizzo di infrastrutture di comunicazione già pronte (C2). «Royal ricorre praticamente a tutte queste tecniche e, pertanto, dovrebbe essere considerata una minaccia significativa».
2. L’APT Sharp Panda utilizza una nuova variante di malware dotata di una funzione di “silenzio radio”
Secondo Check Point, il gruppo di spionaggio informatico " " Sharp Panda (si apre in una nuova scheda) sta utilizzando una nuova versione del proprio framework malware Soul nella sua ultima campagna.
La backdoor Soul è dotata di una funzione di “silenzio radio” che consente all’autore della minaccia di specificare le ore della settimana in cui alla backdoor non è consentito comunicare con il server di comando e controllo .
Chi è Sharp Panda?
All’inizio del 2021, Check Point ha scoperto un’operazione di sorveglianza denominata “ ” (si apre in una nuova scheda) condotta da un gruppo da loro denominato Sharp Panda. Questa campagna ha preso di mira enti governativi del Sud-Est asiatico e ha fatto ricorso a e-mail di spear-phishing per ottenere l’accesso iniziale ai propri obiettivi. Queste e-mail di phishing mirate contenevano un documento Word allegato con esche relative a tematiche governative. La campagna ha sfruttato un modello remoto per scaricare ed eseguire un documento RTF dannoso contenente il famigerato kit RoyalRoad.
Dopo aver ottenuto l’accesso alla rete, il malware ha avviato una catena di loader in memoria, tra cui un downloader DLL personalizzato e un loader di seconda fase per installare la backdoor finale. Il payload finale di questa campagna era VictoryDLL, un malware personalizzato che consente l’accesso remoto e la raccolta di dati.
L'ultima campagna pubblicitaria di Sharp Panda
Ulteriori indagini su Sharp Panda hanno portato alla luce diverse campagne che utilizzavano la stessa catena di infezione sopra descritta. Tuttavia, l’ultima campagna di Sharp Panda sfrutta una nuova versione del loader SoulSearcher di (si apre in una nuova scheda), in grado di scaricare, decriptare e caricare in memoria altri moduli della backdoor modulare Soul di (si apre in una nuova scheda).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Non è stato ancora confermato se il framework Soul sia utilizzato da un unico autore di attacchi, sebbene i primi tentativi di attribuzione sembrino collegare il framework a un autore di attacchi che presenta una qualche forma di legame con la Cina. La condivisione di strumenti personalizzati e di tattiche, tecniche e procedure (TTP) tra gli APT cinesi è estremamente diffusa, il che rende particolarmente difficile l’attribuzione – ovvero il lavoro concreto di ricondurre questo tipo di campagne a un unico attore malintenzionato. Vale inoltre la pena sottolineare che il framework Soul è ormai in uso da diversi anni e viene costantemente aggiornato e perfezionato, rendendo ancora più difficile per i ricercatori stare al passo con i suoi sviluppi.”
3. Il ransomware IceFire sfrutta Aspera Faspex, prodotto d IBM , per attaccare le reti aziendali che utilizzano la soluzion Linux
Un nuovo rapporto di SentinelLabs sostiene che i suoi ricercatori abbiano osservato nuove versioni Linux di un noto ceppo di r, denominato IceFire (si apre in una nuova scheda) , utilizzato contro aziende del settore dei media e dell’intrattenimento in luoghi che tradizionalmente non sono considerati obiettivi privilegiati dalle bande di ransomware, tra cui Turchia, Iran, Pakistan ed Emirati Arabi Uniti.
Prima della pubblicazione del rapporto di SentinelLabs, IceFire era stato associato esclusivamente ad attacchi incentrati su Windows (si apre in una nuova scheda). Secondo quanto riferito, IceFire è stato individuato per la prima volta dal MalwareHunterTeam nel marzo del 2022. Tuttavia, è stato solo dopo agosto 2022 (si apre in una nuova scheda) che le vittime sono state rese note tramite il sito di divulgazione del dark web.
SentinelLabs descrive le tattiche di IceFire come coerenti con quelle delle bande di ransomware che adottano la metodologia della “caccia grossa” (BGH). In altre parole, le tattiche prevedono una doppia estorsione, prendono di mira le grandi imprese, sfruttano molteplici meccanismi di persistenza e pongono l’accento sull’elusione dei sistemi di difesa e analisi mediante la cancellazione dei file di log.
Sebbene i rapporti precedenti attribuiscano a IceFire gli attacchi al settore tecnologico, l’attività più recente del ransomware, incentrata sull’ Linux, si è finora limitata in gran parte ai settori dell’intrattenimento e dei media.
IceFire, variante dell' Windows
La variante “ Windows” di IceFire viene diffusa tramite messaggi di phishing (si apre in una nuova scheda). Gli autori delle minacce ricorrono inoltre al “pivoting” utilizzando framework di post-sfruttamento.
Definita dai ricercatori come una minaccia di estorsione su più fronti, gli operatori di IceFire sottraggono tutti i dati di interesse dall’ambiente di destinazione prima di crittografare i dispositivi. Una volta raggiunto questo obiettivo, le vittime vengono sottoposte a ricatti e pressioni affinché paghino il riscatto richiesto, al fine di impedire la fuga di dati e, si spera, ottenere le chiavi di decrittazione.
Informazioni sulla variante “ Linux ” di IceFire
Secondo SentinelLabs, i ricercatori hanno osservato per la prima volta l’impiego della nuova variante “ Linux” di IceFire a metà delfebbraio 2023. Le intrusioni sfruttano una vulnerabilità di deserializzazione recentemente resa nota (e corretta) nel software di condivisione file Aspera Faspex dell' IBM (CVE-2022-47986 (si apre in una nuova scheda), punteggio CVSS: 9,8).
Da TheHackerNews:
“Il file binario del ransomware (si apre in una nuova scheda), che prende di mira Linux , è un file ELF a 64 bit da 2,18 MB installato su host CentOS che eseguono una versione vulnerabile del software per file server Aspera Faspex disponibile all’indirizzo IBM .”
La variante “ Linux ” è inoltre in grado di evitare la crittografia dei percorsi che i computer delle vittime devono mantenere intatti per poter continuare a funzionare.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“IceFire è l’ultima di una serie sempre più ampia di famiglie di ransomware che stanno diversificando il proprio arsenale e sviluppando varianti su misura per diversi sistemi operativi. “Gli attacchi ransomware rivolti all’ Linux , in generale, hanno subito una forte accelerazione negli ultimi anni e continueranno a crescere nel 2023 e oltre.”
Da SentinelLabs:
Sebbene le basi fossero state (si apre in una nuova scheda) gettate nel 2021, la tendenza dei ransomware Linux ha subito un’accelerazione nel 2022 , quando gruppi di spicco hanno aggiunto Linux strumenti di crittografia al proprio arsenale, tra cui BlackBasta, Hive (si apre in una nuova scheda), Qilin (si apre in una nuova scheda), Vice Society, nota anche come HelloKitty (si apre in una nuova scheda) e altri.
«Poiché molti sistemi Linux sono server, i vettori di infezione tipici, quali il phishing o i download automatici, risultano meno efficaci. Pertanto, per superare questa situazione, gli autori delle minacce hanno iniziato a sfruttare le vulnerabilità riscontrate nelle applicazioni per distribuire i propri payload — in questo caso, la vulnerabilità IBM di Aspera.”
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
