Questa settimana, CTI fornisce gli ultimi aggiornamenti su una campagna di ingegneria sociale attualmente in corso. Successivamente, CTI esamina un’operazione di ransomware relativamente recente denominata Mad Liberator. Infine, il CTI conclude con una panoramica sull’evoluzione nel corso degli anni del mondo clandestino della criminalità informatica.
1. Nella campagna di ingegneria sociale attualmente in corso compaiono nuovi strumenti
Da alcuni mesi, Rapid7 sta monitorando una campagna di ingegneria sociale denominata “ ” . Attualmente si sta osservando un cambiamento negli strumenti utilizzati dall’autore della minaccia, tra cui il passaggio dai file binari nativi di tipo “ Windows ” a un eseguibile .NET che finge di scaricare filtri antispam per la posta elettronica.
Secondo Rapid7, l’esca utilizzata dall’autore della minaccia non sembra variare nel corso di questa campagna. L'autore dell'attacco invierà un gran numero di e-mail alla vittima e la contatterà telefonicamente — solitamente tramite Teams — fingendo di offrire una soluzione a un “problema”. L'autore dell'attacco convincerà la vittima a installare AnyDesk, consentendogli così di accedere in remoto al dispositivo e di compiere azioni dannose.
L'autore dell'attacco esegue quindi il file antispam.exe, che finge di scaricare un filtro antispam per la posta elettronica. Questo falso filtro antispam richiede all'utente di inserire le proprie credenziali. L'attore procede quindi con una serie di comandi binari e script per connettersi al proprio server C2 . Oltre ai tunnel SSH inversi e allo strumento di monitoraggio e gestione remota (RMM) Level, utilizzato per il movimento laterale, sono stati rilevati diversi payload successivi.
Dettagli tecnici
Durante l’analisi dei payload secondari utilizzati nell’attacco, Rapid7 ha scoperto che molti di essi erano firmati con lo stesso certificato.
Antispam.exe
Come indicato in precedenza, si tratta di un programma per il furto di credenziali che si presenta come un filtro antispam per la posta elettronica. Il programma eseguirà un ciclo che visualizzerà lo stesso messaggio 1.023 volte nella finestra. Questo ciclo fittizio si concluderà con una richiesta all’utente di inserire le proprie credenziali e con la visualizzazione di un messaggio di conferma fittizio.
Updatex.exe
L'attore esegue quindi una serie di file eseguibili, ciascuno dei quali inizia con la parola “update” seguita da un numero. I file eseguibili sono tutti firmati con lo stesso certificato, ma ciascuno svolge una funzione diversa.
- Il file Update1.exe si presenta come un programma di installazione per Yandex Disk, un servizio di archiviazione cloud e condivisione di file. Il payload decifrerà ed eseguirà un secondo file eseguibile tramite iniezione PE locale. Questo eseguibile di seconda fase funge da beacon e si collegherà al server C2 tramite una richiesta effettuata da un client HTTP scritto in Golang. Rapid7 ritiene che, sulla base delle stringhe incorporate, il server a cui si connette funga da proxy SOCKS.
- Il file Update4.exe si presenta come una copia di APEX Scan, uno scanner antivirus di Trend Micro contenente codice dannoso. Una volta eseguita questa operazione, verrà avviato lo shellcode incaricato di connettersi al server C2 e di fungere da proxy SOCKS.
- Il file Update6.exe tenta di sfruttare la vulnerabilità CVE-2022-26923 per aggiungere un account di macchina qualora il controller di dominio risulti vulnerabile. Si ritiene che il codice sorgente sia stato copiato da un modulo di Cobalt Strike disponibile al pubblico.
- Il file Update7.exe, insieme al file Update8.exe, contiene il malware SystemBC. Questo malware funziona come un " proxy " SOCKS, ma anche come dropper per ulteriori payload.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'autore dell'attacco sta modificando gli strumenti e i payload utilizzati nell'attacco, ma non l'esca iniziale. È evidente che l’autore dell’attacco stia ottenendo un certo successo, dato che bombarda le vittime con e-mail per poi contattarle telefonicamente per offrire una soluzione al problema che lui stesso ha creato.
Detto questo, è sorprendente pensare che questa esca possa rivelarsi efficace. Le organizzazioni devono prevedere in anticipo tali chiamate ed essere vigili nei confronti di eventuali attività fraudolente.
2. Il ransomware Mad Liberator prende di mira gli utenti di AnyDesk
Sophos ha recentemente condotto un’indagine su un’operazione di ransomware relativamente nuova denominata “ ” e “Mad Liberator”. Questo attore è apparso per la prima volta in “ luglio 2024 ” e prende di mira le vittime che hanno installato AnyDesk, effettuando chiamate indesiderate nella speranza che la vittima accetti la richiesta di connessione.
Come molte operazioni di ransomware, Mad Liberator si concentra sull’esfiltrazione dei dati. Sophos non ha ancora rilevato alcun caso in cui l’autore dell’attacco abbia crittografato i dati, sebbene alcune altre ricerche suggeriscano che il gruppo possa ricorrere occasionalmente alla crittografia. L'attore gestisce un sito dedicato alle fughe di dati su cui pubblica le proprie vittime e ricorre principalmente a tecniche di ingegneria sociale per ottenere l'accesso iniziale.
La sequenza di attacchi di Mad Liberator
L'autore dell'attacco fa ampio ricorso a AnyDesk e prende di mira le vittime che hanno già installato il programma. Sophos non ha individuato in che modo l’autore dell’attacco prenda di mira un determinato ID AnyDesk, né ha individuato collegamenti o contatti tra l’autore dell’attacco e la vittima prima che quest’ultima riceva una richiesta di connessione AnyDesk non richiesta.
Nell’episodio rilevato da Sophos, la vittima sapeva che AnyDesk veniva utilizzato legittimamente dal reparto IT della propria organizzazione e ha ritenuto che la richiesta di connessione rientrasse nelle normali attività del team IT. Una volta che la vittima ha accettato la richiesta di connessione, l’autore dell’attacco è riuscito a trasferire un file binario dannoso sul suo dispositivo e a eseguirlo.
Il file binario trasferito era denominato “Microsoft Windows Update” per evitare di destare sospetti e mostrava addirittura alla vittima una schermata che imitava un aggiornamento di Windows . L’attore ha quindi utilizzato una funzionalità di AnyDesk per disabilitare l’input proveniente dalla tastiera e dal mouse dell’utente, in modo che questi non potesse tentare di interferire con l’esecuzione.
Mentre all'utente veniva visualizzato il falso aggiornamento di Windows , l'autore dell'attacco ha proceduto ad accedere all'account OneDrive della vittima. Hanno utilizzato l’opzione “AnyDeskFileTransfer” per sottrarre file dall’account OneDrive. L’attore ha quindi utilizzato Advanced IP Scanner per verificare se fosse possibile accedere lateralmente ad altri dispositivi presenti nella rete. Dopo l’esfiltrazione, l’autore dell’attacco ha creato diverse richieste di riscatto e le ha inserite in più posizioni, non solo sul dispositivo della vittima.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Affinché Mad Liberator funzioni, l’utente finale deve innanzitutto accettare una richiesta di connessione AnyDesk non richiesta. Questa tecnica dovrebbe destare sospetti negli utenti finali.
Se questo attore dovesse evolversi fino a ricorrere a ulteriori tecniche di ingegneria sociale nei propri metodi di accesso iniziale, probabilmente riuscirà con maggiore efficacia a indurre gli utenti ad accettare le richieste di connessione di AnyDesk.
3. Bitdefender analizza l’evoluzione del mondo clandestino della criminalità informatica
Un recente rapporto di Bitdefender analizza come il gruppo criminale informatico “ ” continui a evolversi.
«Sono ormai finiti i tempi degli attacchi informatici “bragging rights” che erano (relativamente) innocui», afferma Bitdefender.
“«Oggi gli autori delle minacce operano nell’ambito di organizzazioni ben rodate, guadagnando milioni all’anno sia compromettendo direttamente le aziende sia mettendo i propri servizi a disposizione di altri avversari meno esperti.»
Secondo Bitdefender, tale cambiamento è stato determinato da un’area di attacco digitale più ampia, dalla comparsa di un numero crescente di mercati sul dark web, da ingenti volumi di dati trapelati, da piattaforme di comunicazione private quali Signal e Telegram, dalle criptovalute e da ricompense più elevate.
Oggi esistono molti tipi diversi di organizzazioni criminali informatiche che sfruttano il dark web. Si va da attori indipendenti e gruppi di piccole e medie dimensioni a grandi gruppi come Conti. Indipendentemente dal tipo di gruppo, questi tendono a ricorrere alla rete clandestina dei criminali informatici per trarne profitto. Ciò avviene spesso attraverso la vendita di exploit, dati rubati, malware, ransomware, accesso a organizzazioni e servizi compromessi e altro ancora.
Bitdefender evidenzia alcuni aspetti specifici che stanno alimentando le attività nel mondo della criminalità informatica:
- I servizi di spam e phishing costituiscono una parte significativa del mondo clandestino della criminalità informatica. Tali servizi vengono solitamente offerti tramite il dark web o altre piattaforme di comunicazione e possono comprendere una vasta gamma di prestazioni. I clienti di tali servizi hanno la possibilità di acquistare vari elementi del servizio, quali liste di indirizzi e-mail in blocco, accesso a server compromessi e kit di phishing.
- I proxy a noleggio costituiscono un’altra componente del mercato clandestino. I proxy dannosi spesso sfruttano reti infette per mascherare l'origine delle attività dannose. Gli autori delle minacce sfruttano questi proxy per sferrare attacchi e rendere difficile per i difensori individuare la vera origine dell’attività. Inoltre, garantiscono un certo grado di anonimato all’attore.
- I gruppi APT tentano spesso di mascherare le proprie attività di spionaggio ricorrendo al ransomware e imitano le TTP di altri attori per evitare di essere identificati.
Progressi recenti
Bitdefender ha individuato alcuni modelli che evidenziano come il panorama continui a evolversi. Ad esempio, si osserva una tendenza nella condivisione delle informazioni. Proprio come le organizzazioni condividono apertamente informazioni per aiutare la comunità internazionale a proteggersi da specifiche minacce alla sicurezza, anche gli autori di tali atti condividono informazioni divulgative e avvisi sulle tattiche delle forze dell’ordine, al fine di impedire che altri autori vengano individuati.
Un’altra tendenza si riscontra nell’adozione dell’intelligenza artificiale, che viene utilizzata da soggetti meno esperti come una sorta di “codice di trucco” per sferrare attacchi più sofisticati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori delle minacce si adattano costantemente al mondo in continua evoluzione che li circonda e reagiscono ai progressi geopolitici e tecnologici per mantenere la propria efficacia.
Secondo Bitdefender, non esiste un’unica risposta o soluzione in grado di eliminare completamente il rischio rappresentato dagli autori delle minacce. Tuttavia, «comprendendo come operano, quali sono le loro motivazioni e in che modo attaccano attivamente le organizzazioni, è possibile prendere decisioni più consapevoli nell’elaborazione di una strategia completa di resilienza informatica».
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
