Questa settimana, CTI riassume il recente avvertimento di Microsoft riguardo all’aumento delle campagne che sfruttano in modo improprio servizi legittimi di hosting di file, quali SharePoint, OneDrive e Dropbox, per eludere il rilevamento. Successivamente, CTI esamina una campagna di phishing in corso denominata “ ” (si apre in una nuova scheda) che sfrutta allegati HTML che imitano le pagine di accesso di Microsoft 365 . Infine, CTI conclude con una panoramica sul gruppo di autori del ransomware Dark Angels.
I servizi di hosting di file facilitano gli attacchi di tipo “Business Email Compromise”
Microsoft (si apre in una nuova scheda) segnala un aumento delle campagne che sfruttano in modo improprio servizi legittimi di hosting di file, quali SharePoint, OneDrive e Dropbox, per eludere il rilevamento.
Secondo Microsoft, gli attacchi prendono sempre più spesso di mira file con accesso limitato e restrizioni di sola lettura. Sebbene tali campagne presentino caratteristiche diverse, tutte condividono un obiettivo finale simile: sottrarre dati di identità per sferrare attacchi BEC di tipo “ ” (si apre in una nuova scheda).
In che modo i servizi di hosting di file vengono utilizzati per gli attacchi BEC?
Microsoft ha rilevato numerose campagne che facevano un uso improprio di servizi legittimi di hosting di file. Tali campagne ricorrono sempre più spesso a file con accesso limitato e/o con restrizioni di sola lettura. Tali campagne hanno carattere opportunistico e mirano, in ultima analisi, a ottenere dati identificativi che possano essere utilizzati per attacchi BEC.
I file vengono inviati in diversi modi, tra cui tramite e-mail e allegati e-mail. I file con accesso limitato vengono inviati tramite e-mail di phishing e sono configurati in modo da essere accessibili esclusivamente al destinatario previsto. Pertanto, il destinatario deve aver effettuato l'accesso al servizio di condivisione file (Dropbox, OneDrive, SharePoint) oppure deve effettuare nuovamente l'autenticazione.
I file con restrizioni di sola lettura vengono utilizzati per tentare di aggirare i sistemi di detonazione delle e-mail. Questi file disabilitano la possibilità di scaricare il file, rendendo più difficile per gli strumenti eseguire l' Detect azione degli URL incorporati all'interno del file.
Accesso iniziale
L'attacco inizia solitamente con la compromissione dell'account di un utente di un fornitore di fiducia. L'attore provvederà quindi a caricare un file sul servizio di archiviazione file di tale fornitore e a condividerlo con un'organizzazione bersaglio.
Microsoft È stato accertato che tali e-mail utilizzano solitamente argomenti basati su conversazioni e contenuti esistenti e ricorrono a un senso di urgenza per indurre le vittime a interagire con tali file.
Dopo aver condiviso il file, la vittima designata riceverà un’e-mail dal servizio legittimo di condivisione file in cui si comunica che le è stato condiviso un file. Tale e-mail non costituisce necessariamente un tentativo di phishing, ma porta a una situazione di phishing.
Compromissione dell'identità
Dopo che una vittima ha aperto il file condiviso, le viene richiesto di verificare la propria identità tramite un codice di accesso monouso.
Una volta ottenuta l'autorizzazione, potranno visualizzare il documento cliccando su un link. Il link reindirizza a una pagina di phishing, dove alla vittima viene nuovamente richiesto di fornire il proprio nome utente e la propria password e di completare un’autenticazione a più fattori (MFA) su (si apre in una nuova scheda). Nel corso dell’operazione, l’attore sottrae questo token MFA, che può essere utilizzato per portare a termine la fase successiva di un attacco BEC.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Da qualche tempo ormai, gli autori delle minacce stanno strumentalizzando servizi legittimi come quelli segnalati da Microsoft . Il rapporto di Microsoft indica che questa tendenza sta proseguendo con l’introduzione di nuove tattiche volte a eludere i sistemi di difesa, quali l’uso di file con accesso limitato e restrizioni di sola lettura.
I metodi segnalati da Microsoft nel proprio rapporto richiedono alla vittima di compiere alcuni passaggi aggiuntivi, quali la verifica della propria identità ai fini dell’autenticazione, il clic su link aggiuntivi e l’inserimento delle proprie credenziali su una pagina di phishing. Ciò offre alle potenziali vittime alcune ulteriori opportunità di rendersi conto che potrebbe trattarsi di una minaccia, che tuttavia mira intrinsecamente a sfruttare il rapporto di fiducia instaurato con fornitori noti.
Microsoft fornisce alcune azioni consigliate (si apre in una nuova scheda) e utili query di ricerca per Detect e per far fronte a questa minaccia.
Mamba 2FA rappresenta una minaccia per le organizzazioni di tutto il mondo
L'ultimo rapporto di Sekoia, intitolato “ ” (si apre in una nuova scheda) , descrive in dettaglio una campagna di phishing attualmente in corso che utilizza allegati HTML che imitano le pagine di accesso a “ Microsoft 365 ”.
Le pagine di phishing stesse illustravano i metodi di autenticazione a più fattori (MFA) e utilizzavano la libreria JavaScript Socket.IO per comunicare tramite WebSocket con un server di backend. L'attacco è stato inizialmente associato alla piattaforma " " Tycoon 2FA Phishing as a Service (PhaaS) (si apre in una nuova scheda). Tuttavia, un’analisi più approfondita ha rivelato che si tratta di un kit di phishing di tipo “adversary-in-the-middle” (AiTM), finora sconosciuto, denominato Mamba 2FA.
Caratteristiche
A partire da ottobre, gli URL associati al kit di phishing Mamba 2FA seguono la struttura {dominio}/{m,n,o}/?{Base64 string}. La pagina di phishing viene visualizzata solo se sono presenti Base64 parametri validi; in caso contrario, risulterà vuota.
Se il kit rileva una sandbox, reindirizzerà l’utente alla pagina “ Google 404 ”. Gli indirizzi e-mail a cui rivolgersi possono essere aggiunti alla fine dell’ URL. In tal caso, l'indirizzo e-mail viene inserito automaticamente nel modulo di accesso visualizzato. Sekoia ha accertato che la pagina di phishing può presentarsi in una delle quattro forme seguenti, a seconda di un parametro incluso nell’ URL.
A partire dalla versione ottobre 2024, l’infrastruttura di Mamba 2FA’s è composta da due livelli: domini di collegamento e server di inoltro.
Funzionalità di Mamba 2FA
Mamba 2FA presenta funzionalità simili a quelle di altri kit di phishing diffusi, tra cui:
- Gestisce l'autenticazione a due fattori per metodi MFA quali i codici monouso e le notifiche dell' App
- Supporta Entra ID, Active Directory Federation Services (AD FS), provider di servizi di autenticazione ( SSO ) di terze parti e account Microsoft per utenti privati
- È in grado di riprodurre dinamicamente l’immagine coordinata della pagina di accesso personalizzata di un’organizzazione nelle proprie pagine di phishing
- Invia credenziali e/o cookie all’autore dell’attacco tramite un bot di Telegram
Commercializzazione
Mamba 2FA è un e in vendita su Telegram (si apre in una nuova scheda) con formula di abbonamento. Ai clienti del kit viene concesso l'accesso al bot Telegram associato, che consentirà di generare link di phishing e allegati HTML.
Il gestore del server si occupa della manutenzione dell’infrastruttura che ospita le pagine, e i domini non sono destinati a un cliente specifico. Vengono invece utilizzati come pool condiviso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I kit di phishing come Mamba 2FA sono una delle ragioni principali per cui il phishing continua a rappresentare una delle principali minacce. Questi kit consentono agli autori, indipendentemente dal loro livello di competenza, di inviare e-mail di phishing senza dover affrontare la complessità legata alla creazione e alla gestione delle pagine e dell’infrastruttura vere e proprie.
Sekoia rivela inoltre che i domini utilizzati da Mamba 2FA vengono solitamente «segnalati e bloccati dalle soluzioni di sicurezza dopo pochi giorni di utilizzo», rendendo il blocco dei domini associati un vero e proprio gioco al “colpisci il topo”.
Il gruppo di ransomware Dark Angels conduce attacchi mirati
Secondo Zscaler (si apre in una nuova scheda), il gruppo di ransomware Dark Angels ha iniziato a sferrare attacchi nel mese di aprile 2022 e da allora ha continuato a condurre attacchi mirati.
Zscaler sottolinea che questo gruppo opera con “strategie più discrete e sofisticate” rispetto ad altre operazioni di ransomware. Il gruppo conduce attacchi ransomware di tipo “ ” altamente mirati (si apre in una nuova scheda) contro un numero limitato di obiettivi, al fine di attirare il minimo possibile di attenzione.
Informazioni sul gruppo di ransomware Dark Angels
Si ritiene che questo gruppo operi da regioni di lingua russa e che prenda di mira vittime negli Stati Uniti, in Europa, in Sudamerica e in Asia.
I precedenti attacchi del ransomware Dark Angels prevedevano l’installazione del ransomware nei sistemi Windows e si basavano sul codice sorgente di Babuk trapelato. Il gruppo ha iniziato a divulgare pubblicamente i dati sottratti solo all’inizio del 2023.
Il gruppo ha poi iniziato a utilizzare una variante di RTM Locker per sferrare attacchi ransomware contro i sistemi Windows e una variante di Ragnar Locker per crittografare i file sui sistemi Linux/ESXi.
Come opera Dark Angels
Il gruppo di autori di ransomware ricorre a strategie quali il phishing e lo sfruttamento delle vulnerabilità per ottenere l'accesso iniziale.
A differenza di molti altri autori di ransomware, i Dark Angels non affidano i propri attacchi ad affiliati né ricorrono a broker di accesso iniziale, il che consente loro di sferrare solo pochi attacchi mirati.
I loro attacchi comportano in genere il pagamento di ingenti riscatti e l’esfiltrazione di una quantità di dati compresa tra 1 e 100TB – come nel caso dell’attacco informatico sferrato da contro Johnson Controls lo scorso anno (si apre in una nuova scheda) , nel corso del quale il gruppo ha sottratto 27TB di dati.
Crittografia dei file
Come già osservato, il gruppo ha inizialmente preso di mira i sistemi Windows con una versione di Babuk, prima di ricorrere a una variante di RTM Locker. Il ransomware utilizza la crittografia a curve ellittiche (ECC). Anziché aggiungere una breve estensione ai file crittografati, aggiungerà la chiave pubblica codificata Curve25519 .
Il gruppo utilizza una variante di Ragnar Locker per i sistemi Linux/ESXi. Questo ransomware utilizza una combinazione di crittografia asimmetrica ECC e simmetrica AES a 256 bit. I parametri di crittografia vengono inseriti come piè di pagina in ciascun file crittografato, insieme a una richiesta di riscatto creata per ogni singolo file.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il gruppo di ransomware Dark Angels si distingue dalla maggior parte degli altri gruppi per diversi aspetti, sebbene quello più interessante sia la sua mancata adozione di un modello di affiliazione “ ” (RaaS) (si apre in una nuova scheda)/affiliate.
Il gruppo continua ad avvalersi di metodi tradizionali per sferrare i propri attacchi senza ricorrere all’esternalizzazione, il che gli consente di proseguire con i propri attacchi altamente mirati. All’inizio di quest’anno, i Dark Angels hanno ricevuto un riscatto da record per un attacco di tipo “ ” pari a 75 milioni di dollari (si apre in una nuova scheda) .
In linea con le riflessioni di Zscsaler, il fatto che abbiano ricevuto un riscatto da record pur comparendo raramente sulle prime pagine dei giornali è estremamente preoccupante e dimostra il loro impegno a mantenere un profilo incredibilmente basso.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
