Questa settimana, CTI esamina una campagna in corso di un malintenzionato con motivazioni finanziarie in grado di connettersi alla rete TOR e di eludere il rilevamento. Successivamente, CTI esamina un nuovo gruppo ransomware-as-a-service (RaaS) (si apre in una nuova scheda) chiamato Lynx, che ora sta eseguendo un sofisticato programma di affiliazione. Infine , CTI riassume l'ultimo rapporto di Cisco Talos per il quarto trimestre del 2024.
La campagna in corso utilizza la backdoor TorNet
Cisco Talos ha scoperto (si apre in una nuova scheda) una campagna diffusa che opera dal luglio 2024. L'attore offre una serie di payload noti e una backdoor precedentemente non documentata chiamata TorNet per connettersi alla rete TOR.
L’attore utilizza il phishing come vettore di attacco iniziale ed esegue attività pianificate per la persistenza. Inoltre, l'attore disconnette il dispositivo dalla rete prima di rilasciare ed eseguire il malware e ricollegarlo dopo il fatto.
Come funziona la campagna di phishing?
Gli attacchi iniziano con un’ e-mail di phishing (si apre in una nuova scheda) che impersona un istituto finanziario o un’azienda di produzione e logistica. L'e-mail attira il destinatario con false conferme di trasferimento di denaro e ricevute di ordini falsi.
Finora, la maggior parte delle e-mail sono state in polacco e tedesco, suggerendo che gli attori della minaccia potrebbero essere rivolti agli utenti in quei paesi. Tuttavia, alcune e-mail di phishing sono emerse anche in inglese.
Gli allegati nelle e-mail hanno anche un'estensione di file .tgz , il che significa che sono compressi utilizzando GZIP. Il destinatario deve aprire l'allegato nell'e-mail, decomprimerlo ed eseguire un eseguibile del caricatore incluso. Questo caricatore è responsabile del download del malware PureCrypter che viene eseguito nella memoria di sistema.
In che modo l’attacco di phishing utilizza il malware PureCrypter?
Cisco Talos ha analizzato i file allegati compressi e ha scoperto che contengono un grande file eseguibile .NET. Questo eseguibile è configurato per scaricare eseguibili aggiuntivi o caricare un binario incorporato. Alcuni campioni hanno scaricato i file binari del malware PureCrypter e li hanno archiviati con nomi di file arbitrari e diverse estensioni di file. In alcuni casi, PureCrypter è stato incorporato direttamente nel caricatore.
Questo malware PureCrypter è una libreria di collegamenti dinamici di Windows , offuscata utilizzando Eziriz .NET Reactor. Mira a creare un mutex sul dispositivo infetto ed eseguire un comando per rilasciare l'indirizzo IP DHCP attualmente assegnato. Stabilirà la persistenza, eseguirà attività anti-analisi e rilevamento, abbasserà ed eseguirà il carico utile ed eseguirà un comando per rinnovare l'indirizzo IP. Questa tecnica è meno comune, ma è probabilmente utilizzata per eludere il rilevamento.
Cos'è la backdoor TorNet?
In alcuni casi, Cisco Talos ha osservato il malware PureCrypter cadere una backdoor precedentemente sconosciuta chiamata TorNet. Questa backdoor stabilisce una connessione al server C2 e collega il dispositivo infetto alla rete TOR. Può anche ottenere ed eseguire gruppi .NET nella memoria della macchina.
Il malware decodifica una stringa per ottenere il numero di porta, il dominio C2 e una stringa di 16 caratteri (5e7a81857a353068). Simile a PureCrypter, eseguirà anche diversi controlli per anti-debug, anti-malware, anti-VM e evasione sandbox.
Cisco Talos non è riuscito a ottenere una risposta dal C2 durante la sua analisi. Tuttavia, ha determinato che la risposta sarebbe un arbitrario .NET codice di assemblaggio, ulteriormente scalare la superficie di attacco. La backdoor collega il dispositivo infetto alla rete TOR scaricando il pacchetto di esperti TOR, disimballandolo ed eseguendolo come processo in background.
Il blog Cisco Talos contiene ulteriori dettagli tecnici su TorNet (si apre in una nuova scheda).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Una delle tecniche più interessanti utilizzate in questa campagna è disconnettere il dispositivo della vittima dalla rete rilasciando il suo indirizzo IP, eseguendo attività dannose e ricollegandolo alla rete. Ciò può potenzialmente consentire all'attore di eludere il rilevamento, in particolare quelli limitati a indicatori specifici.
Questa tecnica, unita alla capacità di TorNet di anonimizzare la comunicazione con il server C2 , rivela i passaggi extra che l'attore sta compiendo per evitare il rilevamento.
Lynx ransomware group gestisce un programma di affiliazione avanzato
I ricercatori del Group-IB hanno recentemente condiviso i dettagli (si apre in una nuova scheda) sul nuovo gruppo ransomware-as-a-service (RaaS) Lynx, che ha una piattaforma altamente organizzata e un sofisticato programma di affiliazione.
Il rapporto di Group-IB fornisce ottime informazioni su Lynx, inclusi dettagli sul gruppo di affiliazione, le comunicazioni interne e le loro tattiche, tecniche e procedure (TTP).
Cosa c'è da sapere sul panel di affiliazione Lynx
Group-IB si è infiltrato con successo nel gruppo e ha ottenuto l'accesso al suo pannello di affiliazione. Questa ricerca ha scoperto che il pannello ha cinque sezioni:
- La sezione Notizie è l'hub centrale per vari aggiornamenti e annunci e fornisce agli affiliati informazioni sulle nuove funzionalità.
- La sezione Aziende del sito delle perdite funziona come una piattaforma per gli affiliati per gestire le loro vittime. In questa sezione, gli affiliati possono creare profili delle vittime, generare campioni di ransomware unici e stabilire una chat dedicata per ciascuna vittima.
- La sezione Chat è dove gli affiliati possono accedere alle chat create.
- La sezione Stuffers offre agli affiliati un metodo per gestire i subaffiliati o i membri del team durante gli incarichi di collaborazione.
- La sezione Leaks è il luogo in cui gli affiliati possono pubblicare le aziende che hanno attaccato con successo ma da cui non hanno ancora ricevuto il pagamento del riscatto (si apre in una nuova scheda).
Dettagli tecnici su Lynx ransomware
Lynx ransomware è disponibile in Windows varianti Windows e Linux . La Linux variante Linux non è ancora stata osservata in natura.
Una differenza chiave nell’ultima variante di Windows rispetto a quelle osservate l’anno scorso è una nuova opzione “mode”, che consente all’aggressore di selezionare la percentuale di un file da crittografare. Ciò consente all'aggressore di determinare il compromesso tra velocità e quantità di dati crittografati. Questa variante eseguirà la sua crittografia, cambierà lo sfondo del desktop in una nota di riscatto e tenterà persino di stamparlo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il gruppo ransomware Lynx sfrutta funzionalità tecniche avanzate e un programma avanzato. È un buon esempio di come i gruppi di ransomware, in particolare le operazioni RaaS, operino sempre più come le aziende e meno come i tradizionali sindacati criminali informatici.
Vale anche la pena sottolineare che questo gruppo elencherà le stampanti locali e cercherà di inviare la nota di riscatto alle stampanti collegate, il che è raro.
Group-IB chiude il suo rapporto affermando che “solo una strategia difensiva proattiva e adattativa salvaguarderà i dati critici e manterrà la resilienza aziendale”. Questa affermazione si applica a molte minacce.
Cisco Talos pubblica Q4 incident response trends report
Cisco Talos ha pubblicato (si apre in una nuova scheda) il suo report sulle tendenze trimestrali per Q4 2024, che copre le osservazioni chiave degli impegni di risposta agli incidenti (si apre in una nuova scheda) durante questo periodo.
In particolare, Cisco Talos ha osservato un picco sia nell'utilizzo della shell Web che nello sfruttamento delle applicazioni rivolte al pubblico.
Spilla per guscio in nastro
Cisco Talos ha osservato che gli attori delle minacce stanno implementando web shell nel 35% del loro impegno di risposta agli incidenti, in particolare utilizzando web shell open source e pubblicamente disponibili contro applicazioni web vulnerabili o prive di patch (si apre in una nuova scheda). Ciò segna un aumento significativo dal 10% nel terzo trimestre del 2024.
Tendenze ransomware
Circa il 30% degli impegni di Cisco Talos per il quarto trimestre si è concentrato su ransomware, pre-ransomware ed estorsioni di furto di dati, in calo rispetto al 40% del trimestre precedente. Hanno anche osservato un mix di nuovi attori di ransomware come Interlock e ransomware precedentemente osservati come Black Basta (si apre in una nuova scheda) e RansomHub.
Nella maggior parte degli incidenti ransomware indagati da Cisco Talos, il tempo di permanenza dell’aggressore variava da 17 a 44 giorni. Cisco Talos sottolinea che tempi di permanenza più lunghi “possono indicare che un avversario sta cercando di espandere il proprio accesso, eludere le difese e/o identificare i dati di interesse per l’esfiltrazione”.
Cisco Talos ha anche osservato che gli attori di ransomware hanno utilizzato strumenti di accesso remoto nel 100% dei loro incidenti ransomware in questo trimestre. Questa cifra rappresenta un aumento significativo rispetto al trimestre precedente, durante il quale sono stati osservati strumenti di accesso remoto in solo il 13% di questi impegni.
Settori mirati
Per il secondo trimestre consecutivo, il settore dell’istruzione (si apre in una nuova scheda) è stato l’obiettivo principale, seguito dai servizi finanziari, dall’assistenza sanitaria e dalla pubblica amministrazione.
Accesso iniziale
Per la prima volta in più di un anno, Cisco Talos ha stabilito che il mezzo principale per l'accesso iniziale era lo sfruttamento delle applicazioni rivolte al pubblico. Lo hanno osservato in circa il 40% degli impegni in cui potevano determinare gli impegni iniziali.
Negli ultimi trimestri, i conti validi sono stati il mezzo principale di accesso iniziale. L’ultimo trimestre è sceso al secondo posto. Da dicembre, Cisco Talos ha anche visto un aumento degli attacchi di spruzzatura di password che bloccano gli utenti dai loro account o negano l’accesso VPN.
Autenticazione a più fattori: un punto debole della sicurezza
Secondo Cisco Talos, l’assenza dell ’autenticazione a più fattori (MFA) (si apre in una nuova scheda) si è classificata tra i principali punti deboli della sicurezza nel quarto trimestre. Quasi il 40% di tutti gli impegni presentava MFA mal configurati, deboli o inesistenti. Inoltre, il 100% delle organizzazioni colpite dal ransomware non aveva una corretta implementazione MFA o l’ha aggirata attraverso l’ingegneria sociale.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sorprendentemente, gli incidenti ransomware hanno rappresentato un numero leggermente inferiore di interazioni rispetto al trimestre precedente. Anche se questo certamente non significa che il ransomware stia scomparendo presto, potrebbe indicare un cambiamento di attenzione tra gli attori delle minacce.
Inoltre, gli attori delle minacce sembrano tornare a tattiche affidabili, come sfruttare le vulnerabilità. Per la prima volta in oltre un anno, Cisco Talos ha identificato lo sfruttamento delle applicazioni rivolte al pubblico come il metodo principale di accesso iniziale.
Nel report, Cisco Talos fornisce anche raccomandazioni (si apre in una nuova scheda) per affrontare i punti deboli della sicurezza più significativi, tra cui l’implementazione dell’MFA e l’applicazione regolare di patch.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium (si apre in una nuova scheda) per iniziare una conversazione.
Per ulteriori informazioni, scopri le nostre recenti informazioni sulle minacce informatiche (si apre in una nuova scheda).
