Questa settimana, CTI riassume il recente avvertimento di Microsoft sull'aumento delle campagne che abusano di servizi legittimi di file hosting come SharePoint, OneDrive e Dropbox per eludere il rilevamento. Successivamente, CTI esamina una campagna di phishing in corso (si apre in una nuova scheda) che sfrutta allegati HTML che imitano le pagine di accesso di Microsoft 365 . Infine, CTI conclude con una panoramica del gruppo ransomware Dark Angels.
I servizi di file hosting consentono attacchi di compromissione delle e-mail aziendali
Microsoft sta avvertendo (si apre in una nuova scheda) di un aumento delle campagne che abusano di servizi legittimi di file hosting come SharePoint, OneDrive e Dropbox per eludere il rilevamento.
Secondo Microsoft, gli attacchi coinvolgono sempre più file con accesso limitato e restrizioni di sola visualizzazione. Anche se queste campagne variano, tutte condividono un obiettivo finale simile: compromettere le identità per effettuare attacchi BEC (si apre in una nuova scheda).
Come vengono utilizzati i servizi di file hosting per gli attacchi BEC?
Microsoft ha osservato numerose campagne che abusano dei servizi legittimi di file hosting. Queste campagne utilizzano sempre più file con restrizioni di accesso e/o restrizioni di sola visualizzazione. Le campagne sono di natura opportunistica e in ultima analisi mirano a ottenere identità che possono essere utilizzate per gli attacchi BEC.
I file vengono consegnati in diversi modi, tra cui e-mail e allegati e-mail. I file con accesso limitato vengono inviati tramite e-mail di phishing e impostati per essere accessibili solo al destinatario previsto. Pertanto, il destinatario deve essere connesso al servizio di condivisione file (Dropbox, OneDrive, SharePoint) o autenticarsi nuovamente.
I file con restrizioni di sola visualizzazione vengono utilizzati per tentare di aggirare i sistemi di detonazione delle e-mail. Questi file disabilitano la possibilità di scaricare il file, rendendo più difficile per gli strumenti Detect gli URL incorporati nel file.
Accesso iniziale
L’attacco in genere inizia con un utente compromesso di un fornitore fidato. L'attore quindi ospiterà un file sul servizio di hosting di file di quel fornitore e lo condividerà con un'organizzazione di destinazione.
Microsoft ha determinato che queste e-mail in genere utilizzano argomenti basati su conversazioni e contenuti esistenti e utilizzano un senso di urgenza per invogliare le vittime a interagire con questi file.
Dopo aver condiviso il file, la vittima mirata riceverà un’e-mail dal servizio di condivisione file legittimo che indica che un file è stato condiviso con loro. Quella e-mail non è necessariamente un phishing, ma porta a uno scenario di phishing.
Compromissione dell’identità
Dopo che una vittima accede al file condiviso, viene richiesto di verificare la propria identità tramite un passcode monouso.
Dopo l’autorizzazione, possono visualizzare il documento facendo clic su un link. Il link reindirizza a una pagina di phishing, dove alla vittima viene nuovamente chiesto di fornire il proprio nome utente e la propria password e di completare l’autenticazione a più fattori (MFA) (si apre in una nuova scheda). L'attore ruba questo token MFA nel processo, che può essere utilizzato per eseguire la fase successiva di un attacco BEC.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli attori delle minacce stanno armando servizi legittimi come quelli richiamati da Microsoft da qualche tempo. Microsoft Il report di indica che questa tendenza continua con l’aggiunta di nuove tattiche di evasione della difesa, come l’uso di file con accesso limitato e restrizioni di sola visualizzazione.
I metodi che Microsoft chiama nel suo rapporto richiedono alla vittima di compiere alcuni passaggi aggiuntivi, come verificare la propria identità per autenticarsi, fare clic su collegamenti aggiuntivi e inserire le proprie credenziali in una pagina di phishing. Ciò offre alle potenziali vittime alcune opportunità in più per cogliere il fatto che questa potrebbe essere una minaccia, ma cerca comunque intrinsecamente di abusare di un livello di fiducia stabilito con fornitori noti.
Microsoft offre alcune azioni consigliate (si apre in una nuova scheda) e utili query di ricerca per Detect e rispondere a questa minaccia.
Mamba 2FA minaccia le organizzazioni globali
L’ultimo report di Sekoia (si apre in una nuova scheda) descrive in dettaglio una campagna di phishing in corso utilizzando allegati HTML che imitano le pagine di accesso di Microsoft 365 .
Le stesse pagine di phishing hanno trasmesso i metodi MFA e hanno sfruttato la libreria JavaScript di Socket.IO per comunicare tramite WebSocket con un server di backend. L’attacco è apparso per la prima volta in relazione alla piattaforma Phishing as a Service (PhaaS) Tycoon 2FA (si apre in una nuova scheda). Tuttavia, un'indagine più approfondita ha rivelato che è correlato a un kit di phishing avversario in the middle (AiTM) precedentemente sconosciuto chiamato Mamba 2FA.
Caratteristiche
A partire da ottobre, gli URL associati al kit di phishing Mamba 2FA seguono la struttura {dominio}/{m,n,o}/?{Base64 stringa }. La pagina di phishing viene visualizzata solo se sono presenti parametri Base64 validi e altrimenti sarà vuota.
Se il kit rileva una sandbox, verrà reindirizzato a una pagina Google 404 . Gli indirizzi e-mail da prendere di mira possono essere aggiunti alla fine dell' URL. In tal caso, l’e-mail viene precompilata nel modulo di accesso visualizzato. Sekoia ha stabilito che la pagina di phishing può apparire come uno dei quattro tipi, a seconda di un parametro incluso nell' URL.
A partire dal ottobre 2024, l'infrastruttura Mamba 2FA’s ha due livelli: domini di collegamento e server relay.
Funzionalità Mamba 2FA
Mamba 2FA ha capacità simili ad altri kit di phishing popolari, tra cui:
- Gestisce la verifica in due passaggi per i metodi MFA come i codici monouso e le notifiche delle App
- Supporta Entra ID, Active Directory Federation Services (ADFS), provider SSO di terze parti e account Microsoft consumer.
- Può riflettere in modo dinamico il branding della pagina di accesso personalizzata di un’organizzazione nelle sue pagine di phishing
- Invia credenziali e / o cookie all'attaccante attraverso un bot di Telegram
Commercializzazione
Mamba 2FA è in vendita su Telegram (si apre in una nuova scheda) come modello di abbonamento. I clienti del kit hanno accesso al bot Telegram associato che aiuterà a generare link di phishing e allegati HTML.
L'operatore del server mantiene l'infrastruttura che ospita le pagine e i domini non sono per un cliente specifico. Invece, vengono utilizzati come pool condiviso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I kit di phishing come Mamba 2FA sono una parte importante del motivo per cui il phishing rimane una delle principali minacce. Questi kit rendono facile per gli attori di tutti i livelli di sofisticazione condurre e-mail di phishing senza il fastidio di creare e mantenere le pagine e l'infrastruttura effettiva.
Sekoia rivela anche che i domini utilizzati da Mamba 2FA sono di solito "segnalati e bloccati da soluzioni di sicurezza dopo pochi giorni di utilizzo", rendendo il blocco dei domini associati un gioco di whack-a-mole.
Il gruppo ransomware Dark Angels conduce attacchi mirati
Secondo Zscaler (si apre in una nuova scheda), il gruppo ransomware Dark Angels ha iniziato a lanciare attacchi nel aprile 2022 e da allora ha condotto attacchi mirati.
Zscaler osserva che questo gruppo opera con “strategie più furtive e più sofisticate” rispetto ad altre operazioni di ransomware. Il gruppo conduce attacchi ransomware altamente mirati (si apre in una nuova scheda) contro un numero limitato di obiettivi per attirare l’attenzione minima.
Informazioni sul gruppo ransomware Dark Angels
Si ritiene che questo gruppo operi dalle regioni di lingua russa e si rivolgerà alle vittime negli Stati Uniti, in Europa, in Sud America e in Asia.
I precedenti attacchi ransomware Dark Angels avrebbero distribuito ransomware per colpire i sistemi Windows e si basavano sul codice sorgente Babuk trapelato. Il gruppo non ha iniziato a rilasciare pubblicamente i dati rubati fino all'inizio del 2023.
Il gruppo è passato a utilizzare una variante di RTM Locker per lanciare attacchi ransomware su sistemi Windows e una variante di Ragnar Locker per crittografare i file su sistemi Linux / ESXi.
Come funziona Dark Angels
Il gruppo ransomware utilizza strategie come il phishing e lo sfruttamento delle vulnerabilità per l’accesso iniziale.
A differenza di molti altri attori di ransomware, i Dark Angels non esternalizzano i loro attacchi ad affiliati o utilizzano broker di accesso iniziale, consentendo loro di effettuare solo alcuni attacchi mirati.
I loro attacchi in genere comportano pagamenti elevati di riscatti e l’esfiltrazione di dati da 1 a 100TB , come l’attacco informatico contro Johnson Controls dello scorso anno (si apre in una nuova scheda) in cui il gruppo ha rubato 27TB dati.
Crittografia dei file
Come notato, il gruppo inizialmente ha preso di mira i sistemi Windows con una build di Babuk prima di utilizzare una variante di RTM Locker. Il ransomware utilizza la crittografia a curva ellittica (ECC). Invece di aggiungere una breve estensione ai file crittografati, aggiungerà la chiave pubblica codificata Curve25519 .
Il gruppo utilizza una variante di Ragnar Locker per sistemi Linux/ESXi. Questo ransomware utilizza una combinazione di ECC asimmetrico e AES simmetrico a 256 bit per la crittografia. I parametri di crittografia vengono inseriti come piè di pagina in ogni file crittografato, insieme a una nota di riscatto creata per ogni file.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il gruppo ransomware Dark Angels si differenzia dalla maggior parte degli altri gruppi in diversi modi, anche se il più interessante è la sua mancanza di adozione di un modello ransomware-as-a-service (RaaS) (si apre in una nuova scheda)/di affiliazione.
Il gruppo si attiene ai metodi tradizionali di esecuzione dei suoi attacchi senza esternalizzare, consentendogli di continuare i suoi attacchi altamente mirati. I Dark Angels hanno ricevuto un pagamento record di 75 milioni di dollari (si apre in una nuova scheda) all’ inizio di quest’anno.
Facendo eco ai pensieri di Zscsaler, il fatto che abbiano ricevuto un pagamento di riscatto da record mentre raramente fanno notizia è incredibilmente preoccupante e parla del loro impegno a rimanere incredibilmente furtivi.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium (si apre in una nuova scheda) per iniziare una conversazione.
Per ulteriori informazioni, scopri le nostre recenti informazioni sulle minacce informatiche (si apre in una nuova scheda).
