Nella rassegna di questa settimana, CTI esamina una campagna di phishing attualmente in corso che sfrutta le voci di aggiornamento presenti nelle intestazioni HTTP. A seguire, CTI fornisce un aggiornamento sul gruppo Scattered Spider, che sta conducendo attivamente attacchi di ingegneria sociale di tipo “ ” e prendendo di mira account cloud. Infine, la CTI sta indagando su UNC2970, un individuo che si finge un reclutatore e prende di mira le vittime con il pretesto di offerte di lavoro.
Una campagna di phishing sfrutta le intestazioni HTTP per sottrarre credenziali
I ricercatori di Palo Alto segnalano una campagna di phishing attualmente in corso, in cui sfrutta le voci di aggiornamento nelle intestazioni HTTP (si apre in una nuova scheda) per visualizzare pagine di accesso alle e-mail contraffatte.
La campagna si differenzia dalle altre campagne di phishing " " diffuse tramite contenuti HTML in quanto utilizza l'intestazione di risposta inviata da un server, che viene generata prima che il contenuto HTML venga elaborato. Tra maggio e luglio, i ricercatori hanno individuato ogni giorno circa 2.000 URL dannosi collegati alla campagna.
Come funziona questa tecnica
Gli autori delle minacce ricorrono spesso a strumenti e tecniche facilmente reperibili per condurre campagne di phishing. Gli autori degli attacchi utilizzano ora una tecnica di aggiornamento delle intestazioni per inserire link di phishing e creare esche convincenti. I link dannosi prendono di mira ogni singolo utente incorporando l’indirizzo e-mail dell’utente nel campo “refresh” dell’intestazione della risposta HTTP. Ciò costringe il browser ad aggiornare o ricaricare automaticamente una pagina web senza alcuna interazione da parte dell'utente.
Combinando questa tecnica con domini contraffatti che imitano quelli legittimi, gli autori delle minacce hanno maggiori possibilità di indurre le vittime a fornire le proprie credenziali.
Esempi di attacchi di phishing con aggiornamento dell’intestazione
I link dannosi utilizzati nell'attacco cercano di indurre le vittime a inserire le proprie credenziali su un sito che assomiglia molto alla pagina di accesso legittima. Tali pagine riportano solitamente l’indirizzo e-mail dell’organizzazione sul sito, inserendo automaticamente l’indirizzo e-mail della vittima come nome utente e richiedendo una password.
Nel mese di giugno, l’ di Palo Alto ha rilevato campagne su larga scala (si apre in una nuova scheda). Una campagna si è distinta in particolare perché utilizzava e-mail provenienti dallo stesso indirizzo IP di origine e dallo stesso indirizzo mittente falsificato. L’oggetto più comune delle e-mail di questa campagna era “Completa con DocuSign: Modulo ACH/EFT ***”. I link dannosi sono stati inviati tramite URL di aggiornamento dell’intestazione che contenevano gli indirizzi e-mail dei destinatari.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa tecnica di aggiornamento delle intestazioni costituisce un ottimo esempio di come gli autori degli attacchi adottino nuove tecniche e dimostri la rapidità con cui sono in grado di ampliare la portata dei propri attacchi. L'autore di questa campagna è riuscito a sferrare numerosi attacchi su larga scala nel giro di pochi mesi, raggiungendo 2.000 domini al giorno.
Ciò richiede un notevole livello di coordinamento e indica che il soggetto in questione disponeva delle risorse necessarie per portare avanti una campagna di questo tipo. Queste campagne evidenziano come le intestazioni HTTP di aggiornamento possano essere utilizzate a fini malevoli e forniscono ai responsabili della sicurezza un’ulteriore tecnica da tenere in considerazione.
Scattered Spider prende di mira gli account cloud
I ricercatori di EclecticIQ hanno condotto indagini sulle operazioni di ransomware, in particolare quelle rivolte alle infrastrutture cloud. Recentemente è emerso che gran parte delle infrastrutture e delle tecniche, tattiche e procedure (TTP) osservate in questi attacchi corrispondono a quelle del gruppo Scattered Spider, responsabile anche del clamoroso attacco ai danni di MGM e di altri attacchi avanzati di ingegneria sociale.
A partire dall’attacco ai danni della MGM, Scattered Spider ha condotto numerosi altri attacchi di ingegneria sociale. Ricorrono sia al vishing (phishing vocale) che allo smishing (phishing tramite SMS) per ingannare le proprie vittime e sono stati individuati mentre prendevano di mira il servizio di assistenza IT e gli amministratori delle identità. Questo attore mira principalmente a conquistare e a sfruttare la fiducia altrui.
Dagli account utente all’infrastruttura cloud
L’ultima ricerca di EclecticIQ rivela che Scattered Spider compromette spesso le reti ricorrendo a tecniche di ingegneria sociale ai danni degli account cloud.
Uno dei modi in cui il gruppo ottiene l’accesso non autorizzato agli ambienti cloud è attraverso la divulgazione accidentale delle credenziali. L'autore dell'attacco sfrutta i token di autenticazione cloud trapelati che sono stati accidentalmente esposti su siti come GitHub a causa della presenza di credenziali hardcoded nel codice.
L’attore ricorre inoltre a campagne di phishing e tecniche di ingegneria sociale per compromettere gli account e tende a prendere di mira il personale dei servizi di assistenza IT e i team di sicurezza informatica. Gli attacchi prendono di mira servizi cloud quali Entra ID, AWS EC2 e applicazioni SaaS.
Programmi per il furto di credenziali e broker di accesso iniziale
EclecticIQ ha rilevato la vendita di token di autenticazione e credenziali per servizi cloud su forum clandestini, il che costituisce un ulteriore mezzo per ottenere credenziali e accesso ai servizi cloud.
Scattered Spider utilizza inoltre noti malware finalizzati al furto di credenziali, tra cui Stealc, Raccoon Stealer, Vidar Stealer e RedLine Stealer.
Sostituzione della SIM e applicazioni SaaS critiche
Questo attore ricorre comunemente alla tecnica dello “swapping della SIM” per aggirare le protezioni dell’autenticazione a più fattori (MFA) e accedere ad applicazioni SaaS critiche.
Dopo essersi procurato con successo l’accesso a un account utente, l’autore dell’attacco prenderà di mira l’infrastruttura cloud e, in alcuni casi, creerà macchine virtuali per aggirare le misure di sicurezza esistenti.
Sfruttare gli strumenti open source per la ricognizione nel cloud
Dopo aver ottenuto l’accesso a un’infrastruttura cloud tramite le dashboard abilitate all’ SSOe per il corso M365, l’autore dell’attacco conduce un’approfondita attività di ricognizione.
L’attore analizzerà le applicazioni integrate nell’ambiente cloud e si concentrerà sui sistemi CRM, sulle piattaforme di gestione dei documenti, sulle soluzioni di archiviazione delle password, sui repository di codice e altro ancora. Scattered Spider cercherà inoltre informazioni che potrebbero essere utilizzate a fini di estorsione o per colpire terzi collegati alla vittima.
Persistenza nelle infrastrutture cloud
Sin dall’inizio della versione 2024, è stato rilevato che l’attore abusava della sincronizzazione tra tenant (CTS) all’interno di un’identità Entr Microsoft .
L'attore si avvale inoltre dei provider di identità federata presenti nei tenant di Entra ID e Okta per garantire la persistenza dei dati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La ricerca di EclecticIQ analizza l’andamento operativo del gruppo nel periodo compreso tra il 2023 e il secondo trimestre del 2024. I risultati della loro indagine dimostrano che il gruppo Scattered Spider ha ottenuto un notevole successo grazie, in gran parte, alle proprie abili tecniche di ingegneria sociale. La ricerca condotta da EclecticIQ rivela inoltre che questo gruppo sta puntando in modo particolare sull’impiego di ransomware in ambienti cloud.
È opportuno sottolineare che, nell’ambito dell’operazione “ luglio 2024”, è stata arrestata una persona collegata al gruppo “Scattered Spider”. Solo il tempo potrà dire se l'operazione continuerà ad avere successo.
UNC2970 sfrutta chi cerca lavoro negli Stati Uniti
Mandiant sta monitorando un attore noto come UNC2970 (si apre in una nuova scheda). Questo malintenzionato si finge un reclutatore e prende di mira le vittime con il pretesto di offerte di lavoro.
Ultimamente, l’attore ha contattato le vittime tramite e-mail e WhatsApp, inviando loro un archivio dannoso contenente un file PDF crittografato e un’applicazione per la visualizzazione di PDF infettata da un trojan. Il file può essere aperto solo con la versione di SumatraPDF infettata da trojan inclusa nel pacchetto e mira a installare una backdoor.
Catena di contagio UNC2970’s
Mandiant ha indagato su un episodio in cui una vittima ha scaricato e aperto un archivio ZIP protetto da password ricevuto tramite WhatsApp. L'archivio comprendeva cinque file: un PDF contenente il file esca mostrato alla vittima e la backdoor MISTPEN, un file DLL infettato da trojan, due file DLL legittimi e l'eseguibile legittimo dell'applicazione open source SumatraPDF Viewer.
Mandiant ritiene che all'utente sia stato chiesto di aprire il file PDF contenente il programma di visualizzazione PDF infettato da un trojan. È importante sottolineare che non si tratta di una vulnerabilità di SumatraPDF, bensì di una versione infettata da un trojan. Il payload MISTPEN viene infine caricato in memoria.
- BURNBOOK viene caricato dall'eseguibile SumatraPDF.exe. Si tratta di un programma di avvio che esegue un payload crittografato memorizzato in un file e lo scrive su disco. Contiene codice dannoso che viene attivato quando l'utente apre il file PDF utilizzato come esca.
- La backdoor MISTPEN tenta di scaricare ed eseguire file PE. Il malware è una versione modificata del plugin binhex di Notepad++, v2,0,0,1. Comunica tramite HTTP con diverse API Graph di Microsoft . Supporta diversi comandi, tra cui l’analisi sintattica, il caricamento in memoria, l’esecuzione del payload PE ricevuto, la chiusura dei processi, l’aggiornamento del tempo di inattività nella configurazione e altro ancora.
- Il caricatore TEARPAGE è integrato nella sezione delle risorse di BURNBOOK. Viene caricato tramite il dirottamento dell’ordine di ricerca delle DLL e provvede a decrittografare un blob crittografato. Il risultato decriptato è la backdoor MISTPEN.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori delle minacce sono costantemente alla ricerca di nuove tecniche di ingegneria sociale e l’ultima sembra consistere nel fingersi reclutatori di personale.
Alcuni malintenzionati inviano a chi cerca lavoro falsi test di programmazione contenenti malware. La vittima non arriva mai alla fase di verifica e subisce l’attacco semplicemente aprendo quello che ritiene essere un file PDF contenente la descrizione del lavoro.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
