Nella rassegna di questa settimana, CTI mette in evidenza le più recenti tattiche di phishing che coinvolgono i codici QR. A seguire, CTI esamina il nuovo ransomware Babuk Locker 2,0 . Infine, CTI conclude con una panoramica su un recente attacco alla catena di approvvigionamento che ha preso di mira i clienti a valle di un MSP.
1. Il phishing tramite codici QR si diffonde sempre più rapidamente man mano che le tattiche si evolvono
Palo Alto sta monitorando le nuove tattiche utilizzate in una serie di documenti di phishing denominati “ ” contenenti codici QR.
Tra le nuove tattiche figurano lo sfruttamento dei reindirizzamenti aperti per nascondere la destinazione finale dell’attacco di phishing e l’inserimento di una verifica manuale all’interno dei reindirizzamenti, al fine di eludere il rilevamento e convincere le vittime a inserire le proprie credenziali.
Palo Alto ha inoltre rilevato casi in cui i siti di phishing prendono di mira vittime specifiche, il che indica che prima dell’attacco sia stata effettuata una certa attività di ricognizione.
Che cos’è il phishing tramite codice QR?
Il phishing tramite codici QR, noto anche come “quishing”, consiste nel creare codici QR dannosi e indurre le vittime a scansionarli con i propri dispositivi mobili.
Nel caso del phishing tramite codice QR, gli autori delle minacce tenteranno di sfruttare i dispositivi controllati dagli utenti che presentano misure di sicurezza carenti. Il phishing tramite codici QR si è dimostrato estremamente efficace, motivo per cui sta diventando sempre più diffuso.
Reindirizzamento tramite phishing URL
Palo Alto ha analizzato gli URL dei codici QR delle campagne più recenti e ha riscontrato che spesso ricorrono al reindirizzamento di tipo “ URL ”, che consiste nello sfruttare i reindirizzamenti aperti di siti web legittimi. Ciò differisce dall'inserimento di link che rimandano direttamente al sito di phishing.
URL Il reindirizzamento non è una tattica nuova ed è uno dei motivi per cui gli utenti sono spesso abituati a controllare l’ URL di un link prima di cliccarci sopra. URL Il reindirizzamento, se abbinato ai codici QR, diventa complicato, poiché non è possibile semplicemente passare il mouse sul codice QR per visualizzare l' URL.
Come spiega Palo Alto, i reindirizzamenti consentono ai siti web legittimi di reindirizzare facilmente gli utenti verso pagine esterne, mantenendo al contempo la fonte originale. Gli autori di questi attacchi possono inoltre inserire del testo aggiuntivo all’interno del reindirizzamento Google URL , in modo che il vero sito di phishing rimanga nascosto quando si scansiona il codice QR con un telefono.
Operazioni di phishing
Palo Alto ha scoperto che queste operazioni di phishing si articolano in tre fasi: reindirizzamento, verifica manuale e raccolta delle credenziali.
- I reindirizzamenti conducono le vittime al sito corretto. Alcuni soggetti ricorrono a diversi reindirizzamenti per rendere più difficile la propria identificazione.
- La verifica umana consiste nell’utilizzare procedure di verifica legittime con cui molti utenti hanno familiarità, quali CAPTCHA e Cloudflare Turnstile. Per utilizzare Cloudflare Turnstile nei propri attacchi, è sufficiente che un autore di minacce si registri per ottenere l’abbonamento gratuito al servizio.
- Il furto di credenziali avviene tramite pagine di phishing che imitano le pagine di accesso, come ad esempio Microsoft 365. Alcune pagine mostrano il logo dell’azienda e inseriscono automaticamente l’indirizzo e-mail della vittima, lasciando a quest’ultima il solo compito di inserire la password.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli attacchi di phishing e le tecniche di ingegneria sociale sono in continua evoluzione; il rapporto di Palo Alto mette in luce alcune delle tendenze più recenti.
Sebbene le tre attività principali evidenziate nel rapporto siano state osservate singolarmente nel corso degli ultimi mesi, a Palo Alto si sta ora assistendo al loro impiego combinato, il che non fa che aumentare il potenziale tasso di successo.
Come sempre quando si tratta di nuove tattiche di phishing, è necessario agire di pari passo sulla sensibilizzazione e sulle soluzioni di sicurezza.
2. LockBit 3,0 cambia nome e diventa il ransomware Babuk Locker 2,0
Rapid7 ha recentemente individuato un canale di un gruppo di ransomware che dichiara di essere Babuk Loader, un gruppo che aveva cessato l’attività nel 2021.
Sono stati individuati Rapid7 forum e canali clandestini in cui si faceva riferimento a “Babuk Locker 2,0”, oltre ad alcuni soggetti che si sono attribuiti la responsabilità dei recenti attacchi ransomware. Alla fine hanno stabilito che non si trattava di una ricomparsa del gruppo, bensì di LockBit 3,0 sotto un nuovo nome.
Operatori
Nel corso delle indagini, il Rapid7 ha rilevato diverse discussioni relative a un possibile ritorno di Babuk, la maggior parte delle quali era collegata a due diversi gruppi denominati “Skywave” e “Bjorka”.
Questi gruppi hanno rivendicato la responsabilità di alcuni attacchi ransomware e hanno persino diffuso le fughe di dati di Babuk. Rapid7 ritiene che si tratti di affiliati o di operatori chiave di Babuk 2,0.
Babuk Locker 2,0
Rapid7 ha individuato decine di canali Telegram i cui nomi erano correlati a Babuk Locker 2,0. Uno dei gruppi citati in precedenza, Skywave, ha rivendicato la proprietà di diversi canali, mentre l’altro, Bjorka, ha visto amplificata la diffusione dei propri contenuti relativi a Babuk.
I ricercatori hanno notato una sovrapposizione tra le vittime di Babuk e Bjorka e hanno individuato una possibile collaborazione tra gli autori dopo aver osservato i loghi di Skywave e Bjorka affiancati in una pagina dei contatti relativa a Babuk 2,0.
Dettagli tecnici
Rapid7 ha individuato un presunto campione di Babuk 2,0 su un canale di Telegram. Dopo aver analizzato il campione, hanno stabilito che non si tratta di Babuk, bensì di LockBit 3,0 o LockBit Black. Ciò indica che Babuk 2,0 è semplicemente un nuovo nome o un rebranding di LockBit 3,0.
Babuk o LockBit 3,0?
Rapid7 ha analizzato un file denominato “babuk.exe”, pubblicizzato come Babuk 2,0. Hanno confermato che questo campione si basa interamente su LockBit 3,0 e non è correlato al codice di Babuk trapelato in precedenza.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'analisi Rapid7’s indica che Babuk Locker 2,0 non appartiene in realtà al gruppo Babuk, ma è semplicemente LockBit 3,0 con un nuovo nome.
Come sottolinea Rapid7 , «i gruppi di ransomware non scompaiono: si limitano a cambiare nome, a riutilizzare il codice e a continuare a trarne profitto». Ciò può rendere più complessa l’attribuzione, costringendo gli esperti di sicurezza a dedicare tempo e risorse a “nuovi” ransomware che in realtà non sono altro che un’operazione di rebranding o un modo per un attore di attirare l’attenzione.
3. Le affiliate di Qilin si rivolgono ai clienti a valle di un MSP
Secondo un rapporto di Sophos, nel mese di gennaio un amministratore di un MSP ( ) ha ricevuto un’e-mail di phishing all’indirizzo che si presentava come un avviso di autenticazione relativo allo strumento RMM ScreenConnect. L'e-mail ha infine consentito al gruppo di hacker Qilin, autore di attacchi ransomware, di ottenere le credenziali dell'amministratore e di sferrare attacchi ransomware contro i clienti dell'MSP. Il gruppo Qilin RaaS esiste dal 2022 e in precedenza era noto con il nome di “Agenda”. È noto che questo gruppo recluti i propri membri nei forum russi e utilizzi un sito dedicato alla divulgazione di dati per praticare la doppia estorsione.
Informazioni su STAC4365
Sophos attribuisce questo ultimo incidente a un affiliato di un gruppo di ransomware identificato con il codice STAC4365 , sulla base della sovrapposizione delle infrastrutture, dei modelli di denominazione e delle varie TTP utilizzate dal gruppo in altri attacchi.
STAC4365 è un gruppo malintenzionato che Sophos ha associato a «un modello di attività e indicatori comuni a un gruppo di siti di phishing risalenti al novembre 2022». I siti utilizzati da questo attore si presentano solitamente come URL legittimi di ScreenConnect. Questo attore sta utilizzando un framework AitM open source denominato “evilginx” per raccogliere credenziali di phishing e cookie di sessione.
STAC4365’s Catena d'attacco del Qilin
L'e-mail di phishing utilizzata nell'attacco era stata personalizzata in base all'account amministratore dell'MSP per simulare un avviso di accesso a ScreenConnect. Quando l’amministratore ha cliccato sul link contenuto nell’e-mail per effettuare l’accesso e prendere visione di tale avviso, è stato reindirizzato verso una pagina di phishing tramite una serie di reindirizzamenti.
Sophos rileva che l’autore dell’attacco ha utilizzato il dominio URL per reindirizzare esclusivamente la vittima designata al sito di phishing, mentre tutti gli altri visitatori venivano indirizzati al sito legittimo di ScreenConnect. A questo punto, l'autore dell'attacco potrebbe intercettare le credenziali ed effettuare l'accesso al proprio account.
Dopo aver ottenuto l’accesso all’account ScreenConnect dell’amministratore, l’autore dell’attacco ha installato un’istanza di ScreenConnect gestita dall’autore stesso presso diversi clienti dell’MSP. Secondo Sophos, questa istanza è stata utilizzata per l’enumerazione, l’individuazione degli utenti, la reimpostazione delle credenziali degli account e per ottenere l’accesso ad altri strumenti. Dopo aver ottenuto un accesso adeguato, l’autore dell’attacco ha raccolto ed esportato file dagli ambienti dei clienti, caricandoli su un sito denominato “easyupload[.]io” in una scheda in modalità di navigazione in incognito.
Sophos rivela inoltre diverse tecniche utilizzate dall’autore dell’attacco, tra cui l’identificazione e il targeting dei backup per impedire il ripristino, la diffusione del ransomware Qilin presso diversi clienti dell’MSP, la disabilitazione del servizio Volume Shadow Copy (VSS), l’eliminazione delle copie shadow e dei registri degli eventi di “ Windows ”, l’autodistruzione dopo l’esecuzione e altre ancora.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo specifico attacco ha preso di mira i clienti di un MSP, rendendolo un attacco di tipo “supply chain” — un fenomeno che sta diventando sempre più comune.
Ciò che è interessante è il modo in cui l’attore sia riuscito a sottrarre dati tramite una scheda in modalità di navigazione in incognito nel browser Chrome. Si tratta di un fenomeno poco comune che offre ai responsabili della sicurezza un’ulteriore via di esfiltrazione da monitorare.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
