Questa settimana, CTI analizza una campagna in corso condotta da un attore malintenzionato motivato da interessi economici, in grado di connettersi alla rete TOR ed eludere il rilevamento. Successivamente, CTI esamina un nuovo gruppo di ransomware-as-a-service (RaaS) denominato Lynx, operante nell’ambito del modello “ ” (si apre in una nuova scheda) , che attualmente gestisce un sofisticato programma di affiliazione. Infine, CTI riassume l’ultimo rapporto di Cisco Talos relativo al quarto trimestre del 2024.
La campagna attualmente in corso utilizza la backdoor TorNet
Cisco Talos ha individuato (si apre in una nuova scheda) una campagna su larga scala attiva sin dal luglio 2024. L'attore distribuisce una serie di payload noti e una backdoor finora non documentata denominata TorNet, che consente di connettersi alla rete TOR.
L'autore utilizza il phishing come vettore di attacco iniziale ed esegue attività pianificate per garantire la persistenza. Inoltre, l’autore dell’attacco disconnette il dispositivo dalla rete prima di scaricare ed eseguire il malware, per poi ricollegarlo una volta completata l’operazione.
Come funziona la campagna di phishing?
Gli attacchi hanno inizio con un’e-mail di phishing del tipo “ ” (si apre in una nuova scheda) che si spaccia per un istituto finanziario o un’azienda operante nel settore manifatturiero e logistico. L'e-mail attira il destinatario con false conferme di bonifico e false ricevute d'ordine.
Finora, la maggior parte delle e-mail è stata redatta in polacco e in tedesco, il che fa supporre che gli autori delle minacce possano prendere di mira gli utenti di tali paesi. Tuttavia, sono emerse anche alcune e-mail di phishing in inglese.
Anche gli allegati delle e-mail presentano l’estensione .tgz , il che significa che sono stati compressi utilizzando GZIP. Il destinatario deve aprire l'allegato contenuto nell'e-mail, decomprimerlo ed eseguire il file eseguibile di caricamento in esso contenuto. Questo loader ha il compito di scaricare il malware PureCrypter, che viene eseguito nella memoria di sistema.
In che modo l’attacco di phishing utilizza il malware PureCrypter?
Cisco Talos ha analizzato i file allegati compressi e ha riscontrato che contengono un file eseguibile .NET di grandi dimensioni. Questo eseguibile è configurato per scaricare ulteriori eseguibili o caricare un file binario incorporato. Alcuni campioni hanno scaricato i file binari del malware PureCrypter e li hanno salvati con nomi di file arbitrari e estensioni diverse. In alcuni casi, PureCrypter era integrato direttamente nel programma di caricamento.
Questo malware PureCrypter è una libreria di collegamento dinamico (DLL) di tipo " Windows ", offuscata tramite Eziriz .NET Reactor. Il suo scopo è quello di creare un mutex sul dispositivo infetto ed eseguire un comando per liberare l'indirizzo IP DHCP attualmente assegnato. Garantirà la persistenza, svolgerà attività di anti-analisi e rilevamento, rilascerà ed eseguirà il payload ed eseguirà un comando per rinnovare l’indirizzo IP. Questa tecnica è meno diffusa, ma viene probabilmente utilizzata per eludere il rilevamento.
Che cos’è la backdoor TorNet?
In alcuni casi, Cisco Talos ha osservato che il malware PureCrypter installava una backdoor precedentemente sconosciuta denominata TorNet. Questa backdoor stabilisce una connessione con il server C2 e collega il dispositivo infetto alla rete TOR. È inoltre in grado di caricare ed eseguire assembly .NET nella memoria del computer.
Il malware decodificherà una stringa per ottenere il numero di porta, il dominio C2 e una stringa di 16 caratteri (5e7a81857a353068). Analogamente a PureCrypter, effettuerà anche diversi controlli per eludere i sistemi anti-debugging, anti-malware, anti-VM e sandbox.
Durante la propria analisi, Cisco Talos non è riuscito a ottenere una risposta dal C2 . Tuttavia, ha stabilito che la risposta sarebbe stata costituita da un codice di assembly .NET arbitrario, ampliando ulteriormente la superficie di attacco. La backdoor collega il dispositivo infetto alla rete TOR scaricando il pacchetto "TOR Expert", decomprimendolo ed eseguendolo come processo in background.
Il blog Cisco Talos contiene ulteriori dettagli tecnici relativi a TorNet (si apre in una nuova scheda).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Una delle tecniche più interessanti utilizzate in questa campagna consiste nel disconnettere il dispositivo della vittima dalla rete liberandone l’indirizzo IP, per poi eseguire attività dannose e ricollegarlo alla rete. Ciò potrebbe consentire all’autore dell’attacco di eludere il rilevamento, in particolare quello basato su indicatori specifici.
Questa tecnica, unita alla capacità di TorNet di rendere anonima la comunicazione con il server C2 , mette in luce le misure aggiuntive che l’autore sta adottando per evitare di essere individuato.
Il gruppo di ransomware Lynx gestisce un programma di affiliazione avanzato
I ricercatori di Group-IB hanno recentemente condiviso alcuni dettagli (si apre in una nuova scheda) sul nuovo gruppo Lynx, che opera nel settore del ransomware-as-a-service (RaaS) e dispone di una piattaforma altamente organizzata e di un sofisticato programma di affiliazione.
Il rapporto di Group-IB fornisce approfondimenti significativi su Lynx, compresi dettagli relativi al gruppo di affiliati, alle comunicazioni interne e alle loro tattiche, tecniche e procedure (TTP).
Cosa occorre sapere sul panel di affiliati di Lynx
Group-IB è riuscito a infiltrarsi nel gruppo e ad accedere al pannello degli affiliati. Da questa ricerca è emerso che il pannello è composto da cinque sezioni:
- La sezione “Notizie” costituisce il punto di riferimento principale per vari aggiornamenti e annunci e fornisce agli affiliati informazioni sulle nuove funzionalità.
- La sezione “Aziende” del sito dedicato alle fughe di notizie funge da piattaforma che consente agli affiliati di gestire le proprie vittime. In questa sezione, gli affiliati possono creare profili delle vittime, generare campioni unici di ransomware e aprire una chat dedicata per ciascuna vittima.
- La sezione “Chat” è il luogo in cui gli affiliati possono accedere alle chat create.
- La sezione “Stuffers” offre agli affiliati uno strumento per gestire i sub-affiliati o i membri del team nell’ambito di progetti di collaborazione.
- La sezione “Leaks” è lo spazio in cui gli affiliati possono pubblicare le aziende che sono riusciti ad attaccare con successo, ma dalle quali non hanno ancora ricevuto il pagamento del riscatto (si apre in una nuova scheda) .
Dettagli tecnici sul ransomware Lynx
Il ransomware Lynx è disponibile sia nella variante Windows che in quella Linux . La variante “ Linux ” non è stata ancora osservata in natura.
Una differenza fondamentale nell’ultima variante di Windows rispetto a quelle osservate lo scorso anno è una nuova opzione denominata “mode”, che consente all’autore dell’attacco di selezionare la percentuale di un file da crittografare. Ciò consente all'autore dell'attacco di stabilire il compromesso tra velocità e quantità di dati crittografati. Questa variante eseguirà la crittografia, modificherà lo sfondo del desktop sostituendolo con una richiesta di riscatto e tenterà persino di stamparla.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il gruppo di autori del ransomware Lynx si avvale di competenze tecniche avanzate e di un programma sofisticato. Si tratta di un ottimo esempio di come i gruppi di ransomware, in particolare le operazioni RaaS, operino sempre più come vere e proprie imprese e sempre meno come le tradizionali organizzazioni criminali informatiche.
Vale inoltre la pena sottolineare che questo gruppo effettuerà un elenco delle stampanti locali e tenterà di inviare la richiesta di riscatto alle stampanti collegate, il che è piuttosto insolito.
Group-IB conclude il proprio rapporto sottolineando che «solo una strategia difensiva proattiva e adattiva potrà salvaguardare i dati critici e garantire la resilienza aziendale». Questa affermazione vale per numerose minacce.
Cisco Talos pubblica il rapporto sulle Q4 tendenze relative alla risposta agli incidenti
Cisco Talos ha pubblicato “ ” (si apre in una nuova scheda) , il proprio rapporto trimestrale sulle tendenze per il Q4 2024, che illustra le principali osservazioni emerse dagli interventi di risposta agli incidenti (si apre in una nuova scheda) effettuati nel corso di tale periodo.
In particolare, Cisco Talos ha rilevato un picco sia nell’utilizzo delle web shell sia nello sfruttamento delle applicazioni accessibili al pubblico.
Aumento dei casi di web shell
Cisco Talos ha osservato che gli autori delle minacce stanno implementando web shell nel 35% dei propri interventi di risposta agli incidenti, utilizzando in particolare web shell open source e disponibili pubblicamente contro applicazioni web vulnerabili o prive di patch (si apre in una nuova scheda). Ciò rappresenta un aumento significativo rispetto al 10% registrato nel terzo trimestre del 2024.
Tendenze relative al ransomware
Circa il 30% degli interventi di Cisco Talos nel quarto trimestre ha riguardato casi di ransomware, pre-ransomware ed estorsioni legate al furto di dati, in calo rispetto al 40% registrato nel trimestre precedente. Hanno inoltre rilevato la presenza di una combinazione di nuovi autori di ransomware, come Interlock, e di ransomware già individuati in precedenza, quali , Black Basta (si apre in una nuova scheda),, e RansomHub.
Nella maggior parte degli episodi di ransomware oggetto di indagine da parte di Cisco Talos, il tempo di permanenza dell’autore dell’attacco variava da 17 a 44 giorni. Cisco Talos sottolinea che tempi di permanenza più lunghi «possono indicare che un malintenzionato stia cercando di ampliare il proprio accesso, eludere le difese e/o individuare dati di interesse da sottrarre».
Cisco Talos ha inoltre osservato che, nel corso di questo trimestre, gli autori degli attacchi ransomware hanno utilizzato strumenti di accesso remoto nel 100% dei casi in cui sono stati coinvolti in incidenti di questo tipo. Tale dato rappresenta un aumento significativo rispetto al trimestre precedente, durante il quale gli strumenti di accesso remoto erano stati rilevati solo nel 13% di tali interventi.
Settori di riferimento
Per il secondo trimestre consecutivo, il settore dell’istruzione (si apre in una nuova scheda) è stato il principale obiettivo, seguito dai servizi finanziari, dalla sanità e dalla pubblica amministrazione.
Accesso iniziale
Per la prima volta in oltre un anno, Cisco Talos ha accertato che la principale modalità di accesso iniziale consisteva nello sfruttamento di applicazioni accessibili al pubblico. Hanno osservato questo fenomeno in circa il 40% dei casi in cui è stato possibile individuare i primi contatti.
Negli ultimi trimestri, gli account validi hanno rappresentato la principale via di accesso iniziale. Nell’ultimo trimestre, questa posizione è scesa al secondo posto. Da dicembre, Cisco Talos ha inoltre registrato un’impennata degli attacchi di “password spraying” che impediscono agli utenti di accedere ai propri account o ne bloccano l’accesso alla VPN.
Autenticazione a più fattori: una delle principali vulnerabilità in materia di sicurezza
Secondo Cisco Talos, l’assenza di un’autenticazione a più fattori (MFA) (si apre in una nuova scheda) è risultata tra le principali vulnerabilità di sicurezza nel quarto trimestre. In quasi il 40% di tutti i casi esaminati è stata riscontrata un’autenticazione a più fattori (MFA) configurata in modo errato, debole o del tutto assente. Inoltre, il 100% delle organizzazioni colpite da ransomware non disponeva di un’adeguata implementazione dell’autenticazione a più fattori (MFA) oppure tale sistema era stato aggirato tramite tecniche di ingegneria sociale.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sorprendentemente, gli incidenti legati al ransomware hanno rappresentato un numero leggermente inferiore di interventi rispetto al trimestre precedente. Sebbene ciò non significhi certamente che il ransomware stia per scomparire a breve, potrebbe indicare un cambiamento di orientamento da parte degli autori delle minacce.
Inoltre, sembra che gli autori delle minacce stiano tornando a ricorrere a tattiche consolidate, quali lo sfruttamento delle vulnerabilità. Per la prima volta in oltre un anno, Cisco Talos ha individuato lo sfruttamento di applicazioni accessibili al pubblico come metodo principale di accesso iniziale.
Nel rapporto, , Cisco Talos fornisce inoltre alcune raccomandazioni (si apre in una nuova scheda) per risolvere le vulnerabilità di sicurezza più significative riscontrate, tra cui l’implementazione dell’autenticazione a più fattori (MFA) e l’applicazione regolare delle patch.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
