Nella rassegna di questa settimana, il CTI indaga su una rete di professionisti informatici di tutto il mondo che operano per conto del governo nordcoreano. A seguire, CTI analizza il modo in cui gli autori delle minacce sfruttano le funzionalità legittime dei siti web per inviare spam. Infine, CTI conclude con uno sguardo all’analisi condotta da Recorded Future su 82 deepfake relativi a “ ” (si apre in una nuova scheda) individuati tra luglio 2023 e luglio 2024.
I professionisti informatici nordcoreani si infiltrano nelle organizzazioni internazionali attraverso il lavoro a distanza
Mandiant sta monitorando attivamente (si apre in una nuova scheda) , una rete di professionisti IT di tutto il mondo che operano per conto del governo nordcoreano. Questi lavoratori cercano impiego presso organizzazioni operanti in diversi settori. I loro obiettivi principali sono quelli di realizzare profitti, garantire un accesso a lungo termine in vista di un potenziale sfruttamento futuro e, eventualmente, svolgere attività di spionaggio. Mandiant assegna al gruppo il numero UNC5267.
Chi è UNC5267?
Il gruppo UNC5267, attivo dal 2018, non è un gruppo di minaccia centralizzato tradizionale. Si tratta di persone inviate a vivere al di fuori della Corea del Nord per ottenere un impiego presso aziende occidentali, in particolare nel settore tecnologico statunitense.
Queste persone utilizzano solitamente identità rubate per candidarsi a posizioni a tempo pieno o come collaboratori esterni. Tendono a candidarsi per posizioni che offrono opportunità di lavoro da remoto al 100%. Mandiant ha riscontrato casi in cui i lavoratori del settore IT svolgono più lavori contemporaneamente.
Principali risultati emersi dal rapporto di “ Mandiant”
Mandiant hanno fornito dettagli su alcuni dei loro interventi di risposta agli incidenti che hanno coinvolto tecnici informatici sostenuti dalla Repubblica Popolare Democratica di Corea (RPDC). Tali incarichi riguardavano principalmente lavoratori che operavano nell’ambito delle mansioni per cui erano stati assunti. Tuttavia, Mandiant ha rilevato anche alcuni casi in cui i lavoratori hanno richiesto privilegi di accesso più elevati per modificare il codice o amministrare i sistemi di rete.
Mandiant ha individuato numerosi curriculum che vengono utilizzati per candidarsi a posizioni di lavoro da remoto. Vi sono casi in cui l’indirizzo e-mail utilizzato da un presunto operatore informatico è stato precedentemente rilevato in altri casi relativi a operatori informatici. Partendo da questo spunto, sono riusciti a individuare altri curriculum che apparivano simili ma riportavano nomi, numeri di telefono, università e altre credenziali diversi.
Queste persone, in genere, inviano i dispositivi di proprietà dell’azienda a centri di gestione dei computer portatili e vi accedono da remoto per svolgere le proprie mansioni lavorative. Per connettersi ai dispositivi utilizzano i seguenti strumenti:
- GoToRemote / LogMeIn
- GoToMeeting
- Chrome Desktop remoto
- AnyDesk
- TeamViewer
- RustDesk
Azioni consigliate
Mandiant raccomanda una serie di misure volte a evitare l’assunzione involontaria di soggetti che rappresentano una minaccia.
Tra i loro consigli figurano:
- Valutazione approfondita dei candidati
- Verifica dei numeri di telefono
- Verifica della destinazione di spedizione del computer portatile aziendale
- Richiesta di verifica del numero di serie del computer portatile al momento dell’inserimento nel sistema informatico
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Un numero sempre maggiore di persone legate alla Repubblica Popolare Democratica di Corea si spaccia per professionisti del settore informatico e cerca lavoro presso organizzazioni internazionali per svolgere attività illecite.
Secondo Mandiant, questa minaccia è destinata a persistere, soprattutto man mano che gli autori degli attacchi sviluppano nuovi metodi per indurre in errore i team delle risorse umane e di reclutamento, in modo da riuscire a infiltrarsi in tali ambienti.
Mandiant riassume bene questa minaccia:
Le due motivazioni alla base delle loro attività — il perseguimento degli obiettivi statali e la ricerca di guadagni finanziari personali — le rendono particolarmente pericolose.
Gli autori delle minacce sfruttano l’infrastruttura dei siti web per inviare spam
Un nuovo rapporto di Cisco Talos, intitolato “ ” (si apre in una nuova scheda) , illustra come gli autori delle minacce sfruttino siti web legittimi per diffondere spam.
L’infrastruttura sfruttata in questi attacchi viene spesso utilizzata per scopi legittimi, il che rende difficile bloccare tali messaggi. I ricercatori hanno accertato che tale attività presenta sia una componente automatizzata che una componente umana e hanno osservato l’autore mentre verificava le credenziali ottenute tramite violazioni dei dati.
Abuso dei moduli web
Cisco Talos afferma che gli autori delle minacce sfruttano i moduli web per aggirare i filtri antispam. Ad esempio, i siti che consentono agli utenti di registrarsi inviano solitamente e-mail di conferma agli utenti stessi. Gli attori stanno ora sovraccaricando i campi “nome” con testo e link e rispondendo con messaggi di spam.
Lo stesso vale per i moduli di iscrizione agli eventi e i moduli di contatto. Gli attori utilizzano inoltre moduli web relativi ai quiz di “ Google ” e ad altre app.
Credenziali compromesse
Oltre a sfruttare in modo improprio i moduli web, gli autori delle minacce utilizzano le credenziali sottratte per inviare spam. Ad esempio, i malintenzionati utilizzeranno credenziali rubate per tentare di accedere all’account di posta elettronica della vittima. L'accesso diretto all'account di posta elettronica spesso li condurrà a ulteriori informazioni sensibili e consentirà loro di ricevere codici di autenticazione a più fattori (si apre in una nuova scheda) tramite tale account di posta elettronica.
È stato inoltre osservato che alcuni soggetti hanno utilizzato credenziali per accedere a server SMTP in uscita. Da qui, possono inviare messaggi utilizzando il proprio server e messaggi e-mail provenienti da un server di posta legittimo, che probabilmente non verranno bloccati. I malintenzionati creeranno un account di posta elettronica personale o di prova e si invieranno messaggi di prova utilizzando le credenziali rubate per verificare che il sistema funzioni.
Esistono inoltre numerosi strumenti open source a disposizione degli attori per raggiungere tale obiettivo. Uno degli strumenti più diffusi è MadCat, uno strumento open source di tipo “ SMTP ” dotato di funzionalità di “credential stuffing”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Molte delle strategie utilizzate dagli autori delle minacce per sfruttare i moduli web prevedono l’invio di messaggi inattesi, come registrazioni casuali o conferme di eventi. Gli utenti finali devono valutare attentamente se si aspettano di ricevere messaggi da determinati mittenti prima di aprirli.
Questo è anche un promemoria per utilizzare e seguire le buone pratiche relative alle password (si apre in una nuova scheda). Gli autori degli attacchi sfruttano comunemente le credenziali compromesse durante gli attacchi. La creazione di password complesse può rendere più difficile per loro l'accesso agli account privati.
Recorded Future fa luce sui deepfake politici
L'ultimo rapporto di Recorded Future, intitolato “ ” (si apre in una nuova scheda) , analizza 82 deepfake raccolti tra luglio 2023 e luglio 2024. I deepfake raffigurano personaggi pubblici, tra cui funzionari eletti, candidati alle elezioni e giornalisti provenienti da 38 paesi.
Secondo il rapporto, gli obiettivi più comuni sono la promozione di truffe finanziarie e la diffusione di dichiarazioni non veritiere.
I principali bersagli dei deepfake
I ricercatori hanno individuato dei deepfake che impersonavano persone provenienti da 38 paesi diversi, tra cui quelle dell’Unione Europea sono risultate le più frequentemente oggetto di imitazione.
Le persone oggetto di imitazione sono state suddivise in quattro categorie: capi di Stato e di governo, candidati alle elezioni, funzionari eletti e rappresentanti dei media.
Obiettivi dei deepfake
Gli autori delle minacce prendono di mira le persone con i deepfake per diversi motivi. Alcuni lo fanno per motivi di lucro, cosa che spesso si verifica quando le personalità di cui si assume l’identità avallano schemi fraudolenti. Un altro motivo consiste semplicemente nel fuorviare l’opinione pubblica diffondendo affermazioni e dichiarazioni di sostegno false o esagerate.
Recorded Future ha rilevato che il 26,8% dei deepfake rivolti a personaggi pubblici nell’ultimo anno era finalizzato al guadagno economico, mentre il 25,6% dei casi era volto a fuorviare l’opinione pubblica attraverso la diffusione di dichiarazioni false.
Tattiche emergenti nel campo dei deepfake
Recorded Future ha individuato alcune tattiche emergenti sulla base della propria analisi:
- Avvalersi di soggetti terzi anonimi al fine di occultare le proprie attività ed evitare che vengano individuate
- Prendere di mira gli utenti vulnerabili al di fuori dei social media con i deepfake
- Creazione di sovrapposizioni tratte da testate giornalistiche e imitazione di fonti autentiche
- La creazione di deepfake di leader stranieri
- Fingersi un familiare di personaggi pubblici per promuovere o screditare leader politici
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori di attacchi informatici stanno creando sempre più spesso dei deepfake e li utilizzano in relazione ad avvenimenti di attualità, come le elezioni. È probabile che questa tendenza continui.
Si incoraggiano le organizzazioni a definire solide strategie di risposta e mitigazione relative all’ (si apre in una nuova scheda) per far fronte a questa nuova minaccia. Comprendere come identificare e gestire un deepfake è fondamentale in questa nuova era di disinformazione alimentata dall’intelligenza artificiale (si apre in una nuova scheda).
Recorded Future offre alcuni ottimi consigli su per contrastare i deepfake (si apre in una nuova scheda), tra cui alcune domande che potete porre per aiutarvi a identificarli.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”: (si apre in una nuova scheda),e .