CTI Roundup: Il Ransomware si Spaccia per una Società di Cybersecurity, le Tattiche di Spionaggio si Evolvono in Cina

Per iniziare la rassegna di questa settimana, CTI analizza in modo approfondito un rapporto di Sophos riguardante una nuova operazione di ransomware-as-a-service (RaaS) che sfrutta il nome dell’azienda a proprio vantaggio. Di seguito vi presentiamo un'analisi dettagliata di come l'autore di minacce FIN8 , mosso da motivazioni finanziarie, stia attualmente utilizzando una backdoor Sardonic modificata per diffondere il ransomware BlackCat e massimizzare i profitti. Infine, il CTI analizza in che modo i gruppi cinesi di spionaggio informatico si stiano evolvendo per ridurre al minimo il rischio di essere individuati e rendere più difficile l'attribuzione delle responsabilità.

1. Il ransomware SophosEncrypt si spaccia per l'azienda di sicurezza informatica Sophos

Un recente rapporto  redatto dalla società di sicurezza informatica Sophos, in risposta a una scoperta resa pubblica tramite un tweet 17 luglio  pubblicato dal MalwareHunterTeam, mette in luce una nuova operazione di ransomware-as-a-service (RaaS) denominata SophosEncrypt, che sfrutta il nome dell’azienda a proprio vantaggio.

Inizialmente, secondo quanto riferito, si riteneva che il ransomware facesse parte di un’esercitazione del “red team” condotta da Sophos. Tuttavia, il team Sophos X-Ops ha prontamente risposto al tweet sopra riportato, ringraziando MalwareHunterTeam per la segnalazione e rivelando che i propri ricercatori avevano già individuato un campione del ransomware su VirusTotal nelle prime ore della giornata.

, di BleepingComputer, riferisce che il servizio ID Ransomware di MalwareHunterTeam riporta una segnalazione da parte di una vittima infettata dal nuovo malware: un chiaro indizio del fatto che l’operazione RaaS sia attiva. Sebbene i ricercatori abbiano ancora poche informazioni sul funzionamento di tale operazione e sulle modalità con cui viene promossa, il MalwareHunterTeam ha individuato un campione del programma di crittografia, il che ha consentito loro di avere «una rapida panoramica del suo funzionamento».

Che cos’è SophosEncrypt?

Il nuovo campione in questione è stato individuato da un analista di Sophos X-Ops nel corso di una ricerca di routine su VirusTotal. L'analista ha notato che la variante utilizza il termine “Sophos” nell'interfaccia utente di un pannello utilizzato dal proprio ransomware per avvisare le vittime che i loro file sono stati crittografati. Sembrava inoltre che aggiungesse ai file crittografati l’estensione “.sophos”.

Per quanto riguarda il file eseguibile del ransomware in questione, i ricercatori di Sophos sono riusciti a stabilire che è stato compilato utilizzando MinGW e che contiene librerie Rust collegate. Sophos lo descrive inoltre come “insolitamente retrò” dal punto di vista delle sue funzionalità.

Da Sophos:

“Nella maggior parte degli attacchi ransomware odierni, gli autori delle minacce che sviluppano il ransomware realizzano uno strumento creato espressamente ed esclusivamente allo scopo di crittografare i file, senza includere molte altre funzionalità. La maggior parte dei ransomware con cui abbiamo a che fare oggi consiste in un file eseguibile monofunzionale che non offre molte, se non nessuna, funzionalità aggiuntive.

A quanto pare, i dati di VirusTotal relativi a questi file sembrano indicare — e la nostra analisi lo conferma — che uno dei campioni sia in grado di compiere numerose azioni che vanno ben oltre la crittografia dei file, il che è insolito.”

I ricercatori arrivano addirittura ad affermare che le funzionalità dei file del malware lo rendono più simile a un trojan di accesso remoto (RAT) generico, dotato della capacità di crittografare i file e generare richieste di riscatto, piuttosto che a una tipica variante contemporanea di ransomware.

Tali attività comprendono l’intercettazione del driver della tastiera per la registrazione dei tasti premuti e l’analisi delle prestazioni del sistema tramite comandi WMI. Tuttavia, come molte altre famiglie di ransomware, SophosEncrypt presenta un elenco di directory da escludere dalla crittografia (in quanto potrebbero impedire l’avvio del sistema oppure contenere file non importanti ritenuti superflui da crittografare). E, come molte altre famiglie di ransomware, SophosEncrypt esegue la consueta verifica delle impostazioni linguistiche del sistema, rifiutandosi di avviarsi qualora rilevi che tali impostazioni siano configurate per l’uso della lingua russa.

Per agevolare le trattative relative al riscatto, gli sviluppatori del ransomware preferiscono che le vittime utilizzino metodi di comunicazione che, per la maggior parte, non vengono più impiegati dalla maggior parte dei gruppi che oggi si dedicano al ransomware. Tra gli esempi figurano la posta elettronica e la piattaforma di messaggistica istantanea Jabber.

Analisi delle differenze tra i campioni

Il rapporto di Sophos fa riferimento a un altro campione noto che presenta in misura minore le caratteristiche non tipiche del ransomware sopra descritte. Detto questo, entrambe le varianti si connettono via Internet a un server di comando e controllo (C2), con la connessione che fa riferimento a un indirizzo Tor sul dark web (sebbene Sophos ammetta che nessuno dei campioni analizzati abbia stabilito una connessione Tor).

Inoltre, entrambi i campioni contengono un indirizzo IP predefinito a cui si connettono. Secondo Sophos, l’indirizzo in questione è stato associato, da oltre un anno, sia alle attività di Cobalt Strike C2 sia ad attacchi automatizzati che tentano di infettare dispositivi accessibili al pubblico con software di mining di criptovalute.

Entrambi gli esempi sono stati progettati per essere eseguiti tramite la riga di comando di Windows . Quando viene eseguito nell’applicazione “Prompt dei comandi”, il ransomware richiede all’operatore di inserire una stringa di dati che determina la configurazione del comportamento del malware, nonché il messaggio di riscatto che alla fine viene visualizzato sul dispositivo della vittima.

Secondo Sophos, il programma richiede inoltre all’utente di inserire una password crittografata di 32 caratteri, seguita da quello che sembra essere un token, nonché da un indirizzo e-mail e dall’indirizzo di un account di messaggistica istantanea Jabber. Una volta che l'autore dell'attacco è riuscito a inserire le informazioni, il programma richiede al controllore di selezionare una delle seguenti opzioni:

1. Crittografate tutti i file presenti sul disco rigido.
2. Crittografare una singola lettera di unità.
3. Chiuda il programma.

Se l'autore dell'attacco sceglie la prima o la seconda opzione, il ransomware rinomina i file crittografati utilizzando il valore del token nel nome del file rinominato una volta completata l'operazione di crittografia.

Sia l'indirizzo e-mail che l'indirizzo Jabber specificati vengono aggiunti alla richiesta di riscatto, che viene inviata alla vittima sotto forma di file HTML Application (.hta) inserito in una qualsiasi directory in cui la crittografia è stata completata con successo.

Questo file si limita a visualizzare la richiesta di riscatto, completa delle informazioni di contatto fornite dall'autore dell'attacco durante la fase iniziale dello stesso.

Come nel caso della prima variante descritta in precedenza, al termine del processo il ransomware aggiunge alla fine del nome di ogni file che crittografa un identificativo univoco del computer, l’indirizzo e-mail inserito dall’autore dell’attacco durante la configurazione e il suffisso “.sophos”.

Sophos sottolinea inoltre che, qualora il processo di crittografia venisse interrotto, il ransomware non lascerà alcuna richiesta di riscatto né sostituirà l'immagine di sfondo con quella che è configurato per scaricare dal server di immagini pubblico. In caso contrario, supponendo che il processo di crittografia si svolga senza intoppi, il ransomware recupera un’immagine da un sito web pubblico di archivio immagini e la utilizza per modificare lo sfondo del desktop di Windows della vittima, sostituendolo con una schermata recante la scritta “Sophos”. Inoltre, il banner Sophos che ora compare sul desktop della vittima non riproduce fedelmente il logo, i colori o l'immagine coordinata utilizzati dalla legittima azienda di sicurezza informatica. Alla vittima viene invece mostrato un logo raffigurante un lucchetto verde, accompagnato da istruzioni su come individuare e utilizzare la richiesta di riscatto per contattare gli autori dell’attacco e avviare le trattative.

Registrazione delle proprie prestazioni

Quando SophosEncrypt viene eseguito nella console, genera un elenco completo che riporta in dettaglio i risultati della registrazione di debug e indica il tempo impiegato per crittografare ciascun file in millisecondi. Stranamente, il ransomware segnalerà “SUCCESS” anche quando la soluzione di sicurezza Sophos Intercept X impedisce la crittografia dei file.

Dando un’occhiata alle proprietà del file eseguibile del ransomware, si nota che si tratta, rispettivamente, delle “versioni 0,0,8 e 0,0,9 del programma”. Nessuno dei due file eseguibili è firmato ed entrambi richiedono l’elevazione dei privilegi tramite UAC al momento dell’esecuzione.”

Informazioni sul token del ransomware

Come spiega Sophos, il token entra in gioco quando il ransomware esegue una breve analisi del sistema sul computer. Recupera l’indirizzo IP pubblico della rete del bersaglio ed esegue una richiesta HTTP POST all’indirizzo IP 179,43,154[.]137 sulla porta 21119/tcp, trasmettendo il token e le informazioni di profilazione relative al computer. La sessione non è crittografata.

Se il server non accetta il valore del token, l'applicazione visualizzerà nella console un messaggio di errore in cui si indica che il token non è valido. A questo punto, l'applicazione si chiuderà. Se il ransomware viene eseguito su un computer non connesso a Internet, visualizzerà il messaggio “uso locale del programma” e procederà a funzionare, richiedendo all’utente di inserire una password di 32 byte e le proprie informazioni di contatto prima di procedere alla crittografia.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

«Non è la prima volta che il nome di un’azienda di sicurezza compare nel malware di un malintenzionato.» Non si tratta di uno sviluppo sorprendente, poiché abbiamo osservato che alcuni autori di minacce si fingono ricercatori nel campo della sicurezza e creano finte aziende di sicurezza informatica per attirare talenti nel campo dell’hacking e raccogliere informazioni.

Tenendo presente ciò, spacciarsi per il software di un’azienda specializzata in sicurezza informatica sembra il passo logico successivo. Secondo BleepingComputer, i ricercatori stanno ancora analizzando SophosEncrypt per stabilire se eventuali vulnerabilità possano consentire il recupero gratuito dei file crittografati.

2. FIN8 utilizza una backdoor Sardonic modificata per il ransomware BlackCat

Un nuovo rapporto di Symantec rivela come l’autore delle minacce a scopo di lucro FIN8 stia utilizzando una versione aggiornata di una backdoor denominata Sardonic per diffondere il ransomware BlackCat. Symantec’s researchers believe this development is FIN8’s attempt to diversify its focus and maximize profits.

Informazioni su FIN8

• FIN8 è un gruppo criminale motivato da interessi economici, attivo almeno dal gennaio 2016. Il gruppo si rivolge alle organizzazioni operanti nei settori dell’ospitalità, del commercio al dettaglio, dell’intrattenimento, delle assicurazioni, della tecnologia, dell’industria chimica e della finanza.
• Il gruppo ha storicamente fatto ricorso a tattiche di “living-off-the-land”, avvalendosi di strumenti integrati quali “ PowerShell ” e WMI. I metodi di accesso iniziali più utilizzati sono: (ingegneria sociale), e (spear phishing),.
• Inizialmente, FIN8 era specializzato in attacchi ai sistemi POS (Point of Sale), ma in seguito è stato osservato che nei propri attacchi ricorreva a diverse minacce di ransomware. Ad esempio, nell’ambito dell’operazione “ giugno 2021”, è stato osservato che il gruppo FIN8 stava diffondendo il ransomware Ragnar Locker sui dispositivi che aveva compromesso all’interno di una società di servizi finanziari all’inizio dell’anno. Nel caso “ gennaio 2022”, è stato osservato che il gruppo utilizzava il ransomware White Rabbit nei propri attacchi. Successivamente, nel mese di dicembre 2022, Symantec ha rilevato che il gruppo tentava di utilizzare il ransomware BlackCat nei propri attacchi.

In che modo FIN8 utilizza le backdoor

Il gruppo FIN8 è noto per concedersi lunghe pause tra un attacco e l’altro, probabilmente al fine di migliorare le proprie tattiche, tecniche e procedure (TTP). Nel 2021, Bitdefender ha pubblicato i dettagli relativi alla nuova backdoor “ ” denominata “Sardonic” , collegandola al FIN8. La backdoor Sardonic è in grado di raccogliere informazioni sul sistema ed eseguire comandi. Dispone inoltre di un plugin che consente di caricare ed eseguire payload di malware aggiuntivi distribuiti sotto forma di DLL.

L'attacco " dicembre 2022 " rilevato da Symantec ha utilizzato una backdoor modificata per distribuire il ransomware BlackCat. Sebbene la backdoor Sardonic utilizzata in questa campagna presenti caratteristiche in comune con quella analizzata da Bitdefender, la maggior parte del codice della backdoor è stata riscritta, conferendole un aspetto nuovo. In particolare, il codice non utilizzava più la libreria standard di C++ e la maggior parte delle funzionalità orientate agli oggetti è stata sostituita da un'implementazione in C puro.

Attività degli autori degli attacchi

Durante l’incidente relativo a “ dicembre 2022 ”, l’autore dell’attacco si è collegato tramite PsExec per eseguire il comando “quser” e visualizzare i dettagli della sessione. Ha quindi eseguito un ulteriore comando “ PowerShell ” per avviare la backdoor. L'autore dell'attacco si è collegato alla backdoor e ha verificato i dettagli del computer compromesso prima di eseguire un comando volto a garantire la persistenza.

Il giorno successivo, l’autore dell’attacco si è collegato alla backdoor, ormai permanente, ma ha sospeso l’attività dopo aver eseguito alcuni semplici comandi.  Trenta minuti dopo, l’attività è ripresa e l’autore dell’attacco ha utilizzato il file wmiexec.py di Impacket per avviare un processo volto a lanciare una nuova backdoor. Questa nuova backdoor è stata utilizzata nelle ore successive. Il nuovo script della backdoor PowerShell utilizza un nuovo nome di file e semplifica la riga di comando eliminando l'argomento relativo alla chiave di decrittografia.

PowerShell copione

Una differenza fondamentale tra questo attacco e i precedenti attacchi FIN8 è la tecnica utilizzata per implementare la backdoor.

In questo caso, la backdoor è stata incorporata indirettamente in uno script PowerShell ed è stata utilizzata per infettare i computer di destinazione. Lo script “ PowerShell ” di questa campagna presenta alcuni elementi chiave. La prima riga dello script ha lo scopo di eliminare il file di script “ PowerShell ” stesso. La seconda riga verifica l'architettura del processo corrente prima di selezionare la versione a 32 bit o a 64 bit del caricatore .NET codificato. La terza riga decodifica il file binario del caricatore .NET e lo carica nel processo corrente. L'ultima riga di codice avvia la funzionalità principale del caricatore, in cui vengono decriptati l'iniettore e la backdoor.

• .NET loader: Il loader è una DLL .NET offuscata e contiene due blob. I blob vengono decriptati con l'algoritmo RC4 utilizzando una chiave di decrittazione hardcoded prima della decompressione. I blob decompressi vengono quindi copiati in un blocco continuo di memoria. Il programma di caricamento trasferisce quindi il controllo al secondo blob, l’iniettore, passando come parametri l’indirizzo di memoria e la dimensione del primo blob, la backdoor.
• Injector: L'injector è sotto forma di shellcode. Lo scopo di questo injector è quello di attivare la backdoor in un processo WmiPrvSE.exe appena creato. Durante la creazione di questo processo, l’iniettore tenterà di avviarlo nella sessione 0 utilizzando un token sottratto al processo lsass.exe.

La backdoor Sardonic

Anche la backdoor Sardonic si presenta sotto forma di shellcode.

• Sessioni interattive: Una caratteristica interessante di questa backdoor riguarda le sessioni interattive, in cui l’autore dell’attacco esegue cmd.exe o altri processi interattivi sul dispositivo compromesso. Il campione consente di eseguire contemporaneamente fino a 10 sessioni. All'avvio di ogni singolo processo, l'autore dell'attacco può utilizzare un token di processo sottratto da un ID di processo specificato, che varia a ogni sessione.
• Estensioni: Un’altra caratteristica degna di nota della backdoor è il supporto di tre diversi formati per ampliarne le funzionalità. Il primo formato prevede l’utilizzo di plugin DLL in formato PE che la backdoor carica all’interno del proprio processo. Il secondo formato supportato dalla backdoor è quello dello shellcode, in cui ciascun plugin viene eseguito in un proprio processo dedicato. Anche il terzo formato è sotto forma di shellcode, ma con una convenzione diversa per il passaggio degli argomenti.
• Comunicazione di rete: Per comunicare con il proprio server di comando e controllo (C2), la backdoor scambierà messaggi di dimensioni variabili utilizzando la struttura riportata di seguito. La dimensione del campo "body" può essere determinata in base al contenuto del campo "header".
• Messaggio iniziale: una volta che la backdoor si connette al proprio server C2 , invierà il messaggio iniziale di 0x10C byte con il valore del campo di intestazione pari a 0xFFFFFCC0 (codificato in modo fisso) e il campo di piè di pagina lasciato non inizializzato.
• dimensioni del corpo è pari a 0x80 per ogni messaggio in arrivo con un valore del campo di intestazione pari a 0xFFFFFE78 (fissato per impostazione predefinita), e
  
  • In tutti gli altri casi, la dimensione del corpo corrisponde semplicemente al valore del campo di intestazione.

Il contenuto dei campi "body" e "footer" viene crittografato con RC4 utilizzando rc4_key come chiave di crittografia. Il flusso di chiavi viene riutilizzato durante la crittografia di ogni singolo campo.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

È evidente che l’unità “FIN8 continui a potenziare le proprie capacità perfezionando e aggiornando le proprie tattiche, tecniche e procedure (TTP). Il fatto che il gruppo abbia utilizzato una backdoor Sardonic modificata diversi mesi dopo la comparsa della stessa dimostra ulteriormente come essa venga costantemente perfezionata e aggiornata.

Come sottolinea Symantec, il passaggio del gruppo dagli attacchi ai terminali POS alla diffusione di ransomware evidenzia la sua determinazione e il suo interesse a massimizzare i profitti.”

3. Gli autori di attività di spionaggio informatico cinesi stanno evolvendo le proprie tattiche per evitare di essere individuati

Mandiant sta monitorando i diversi modi in cui i gruppi cinesi di spionaggio informatico si stanno evolvendo per ridurre al minimo le possibilità di essere individuati e rendere più difficile l'attribuzione della responsabilità. Secondo la loro analisi, i gruppi cinesi stanno sfruttando vulnerabilità zero-day, prendendo di mira i router e ricorrendo ad altri metodi per instradare e mascherare il traffico interno ed esterno verso le reti delle loro vittime.

La Cina punta sul software per le reti, la sicurezza e la virtualizzazione

Mandiant ritiene che, negli anni 2021 e 2022, lo spionaggio informatico cinese, basato su vulnerabilità zero-day, si sia concentrato sulle tecnologie di sicurezza, di rete e di virtualizzazione.

Prendere di mira questi dispositivi offre numerosi vantaggi tattici a chi perpetra una minaccia. Poiché i dispositivi di sicurezza e di rete sono dispositivi periferici — ovvero sono accessibili da Internet — un autore di attacchi può ottenere un accesso iniziale a essi senza che sia necessaria alcuna interazione umana. Ciò riduce le probabilità di essere individuati.

Come sottolinea Mandiant , i dispositivi periferici e il software di virtualizzazione possono risultare più complessi da monitorare. Alcune potrebbero non supportare le soluzioni “ EDR ”, riducendo ulteriormente la probabilità di rilevamento. Due campagne relativamente recenti mettono in luce le strategie degne di nota che gli autori di attacchi cinesi hanno utilizzato per massimizzare la propria invisibilità.

La UNC3886 ha sfruttato due vulnerabilità zero-day nel corso di operazioni complesse contro obiettivi difficili

Mandiant ha indagato su episodi verificatisi nel 2022 in cui l’autore di spionaggio informatico UNC3886 ha utilizzato molteplici vie di attacco e due vulnerabilità zero-day per garantire la persistenza e ottenere l’accesso ad ambienti virtualizzati. Questo attore malintenzionato ha preso di mira principalmente le basi industriali del settore della difesa, le aziende tecnologiche e quelle del settore delle telecomunicazioni negli Stati Uniti e in Asia.

Questo attore malintenzionato ha limitato la propria presenza sulle reti ai dispositivi di sicurezza Fortinet e alle tecnologie di virtualizzazion VMware , ovvero dispositivi e piattaforme che tradizionalmente non dispongono di soluzioni di tipo “ EDR ”. Il malware e gli exploit personalizzati dell’autore dell’attacco erano finalizzati principalmente a eludere i registri e i controlli di sicurezza; in particolare, cancellavano e modificavano i registri e disattivavano la verifica del file system all’avvio.

UNC4841’s : lo sfruttamento della vulnerabilità Barracuda ESG inizia in modo discreto, per poi diventare aggressivo

L’attore sospettato di spionaggio informatico cinese denominato “ UNC4841 ” ha sfruttato una vulnerabilità zero-day presente negli apparecchi Barracuda ESG nel corso di una campagna rivolta a organizzazioni sia pubbliche che private in tutto il mondo. In diverse occasioni, Mandiant ha rilevato prove del fatto che l’autore dell’attacco cercasse dati di posta elettronica di suo interesse prima di prepararli per l’esfiltrazione.

L'autore dell'attacco ha cercato di mascherare alcuni aspetti della propria attività in vari modi.

• L'autore dell'attacco ha inviato e-mail contenenti file TAR appositamente modificati che sfruttavano la vulnerabilità di Barracuda, consentendogli di eseguire comandi di sistema arbitrari con i privilegi elevati del prodotto ESG.
• Il gruppo ha inoltre sviluppato malware personalizzato utilizzando convenzioni di denominazione simili a quelle dei file ESG legittimi, prima di inserire codice backdoor personalizzato nei moduli legittimi di Barracuda.
• In alcuni casi, l’autore dell’attacco ha sfruttato certificati temporanei legittimi autofirmati di tipo “ SSL ”, forniti sugli apparecchi ESG a scopo di configurazione, insieme a certificati sottratti dagli ambienti delle vittime, al fine di occultare il traffico C2 .

L'autore dell'attacco ha reagito in modo piuttosto aggressivo alle misure correttive adottate e alla divulgazione pubblica dell'accaduto. Dopo la divulgazione della vulnerabilità Barracuda e l’adozione delle prime misure correttive, l’autore dell’attacco ha reagito agendo rapidamente per modificare il proprio malware personalizzato, impiegando ulteriori meccanismi di persistenza e spostandosi lateralmente per mantenere l’accesso.

Altri esempi

I due episodi sopra descritti rappresentano solo una piccola parte di un elenco sempre più lungo di campagne di spionaggio informatico condotte dalla Cina che sfruttano vulnerabilità zero-day nei prodotti di sicurezza e di rete.

• Mandiant È stato segnalato lo sfruttamento di CVE-2022-42475 (una vulnerabilità nel sistema VPN FortiOS SSLdi Fortinet), con le prime prove risalenti a ottobre 2022.
• Nel documento “ dicembre 2022”, Citrix ha segnalato lo sfruttamento in ambiente reale della vulnerabilità CVE-2022-27518 nel proprio Application Delivery Controller (ADC), che l’Agenzia per la Sicurezza Nazionale degli Stati Uniti (NSA) ha attribuito a APT5.
• In un articolo pubblicato su “ marzo 2022”, Sophos ha segnalato lo sfruttamento in ambiente reale della vulnerabilità CVE-2022-1040 nel proprio prodotto firewall, che Volexity ha collegato ad attori cinesi coinvolti in attività di spionaggio informatico.
• Mandiant ha indagato su diverse intrusioni verificatesi tra il agosto 2020 e il marzo 2021 , che hanno comportato lo sfruttamento delle vulnerabilità CVE-2021-22893 nelle VPN Pulse Secure.
• Nel documento “ marzo 2021”, Mandiant sono state individuate tre vulnerabilità zero-day che sono state sfruttate in nel prodotto Email Security (ES) di SonicWall (CVE-2021-20021, CVE-2021-20022, CVE-2021-20023). “

Gli attori cinesi mascherano il traffico esterno e interno tramite botnet e tunnel

Mandiant Si stanno individuando sempre più spesso esempi di operazioni di spionaggio informatico cinese che sfruttano botnet composte da dispositivi IoT compromessi, dispositivi intelligenti e router per mascherare il traffico esterno tra l’ambiente della vittima e l’infrastruttura C2 .

Si sta inoltre osservando sempre più spesso l’utilizzo di diverse famiglie di malware in grado di inoltrare in modo occulto il traffico degli autori delle minacce all’interno di una rete compromessa. È probabile che tali tattiche vengano utilizzate per eludere l’individuazione e rendere più difficile l’attribuzione.

La botnet come cortina fumogena

I ricercatori hanno individuato diversi casi in cui gruppi cinesi di spionaggio informatico hanno sfruttato le botnet per occultare il traffico tra l’autore dell’attacco e la rete della vittima. Si è osservato che tale attività veniva svolta da APT41, APT31, APT15, TEMP.hex, Volt Typhoon e altri.

Tra gli esempi figurano:

• In un articolo pubblicato su maggio 2023, Microsoft ha riferito in merito all’attività del gruppo hacker “ ” (Volt Typhoon) , che ha preso di mira organizzazioni che gestiscono infrastrutture critiche negli Stati Uniti. L'autore dell'attacco ha utilizzato una botnet composta da dispositivi SOHO compromessi per instradare il proprio traffico di rete.
• Nel 2023, Check Point ha analizzato l’autore della minaccia “ ” Camaro Dragon e il suo utilizzo di una backdoor personalizzata denominata Horse Shell. Tale attività era rivolta alle organizzazioni europee competenti in materia di affari esteri e ha consentito all’autore della minaccia di creare un server SOCKS crittografato tramite SSH proxy e di trasferire file.
• Nel 2022, PwC ha segnalato la presenza del malware BPFDOOR, il quale riceveva comandi da VPS controllati da una rete di router compromessi con sede a Taiwan. Mandiant ritiene che tale attività sia correlata a quella del APT41.
• PwC ha inoltre riferito di aver rilevato la presenza di un’ , denominata “Red Vulture” , e del suo utilizzo di una rete proxy condivisa, denominata “RedRelay” nei modelli 2021 e 2022. Si ritiene che questo gruppo corrisponda ai numeri APT15, APT25 e Ke3chang.
• Le autorità francesi e statunitensi hanno pubblicato dei rapporti in cui si evidenzia come soggetti sostenuti dallo Stato cinese abbiano sfruttato dispositivi di rete per instradare il traffico tra le infrastrutture C2 e le reti delle vittime. Il bollettino 2022 degli Stati Uniti ha segnalato lo sfruttamento dell’ e dei dispositivi NAS (Network Attached Storage) . Il rapporto informativo francese 2021 descriveva una campagna specifica attribuita al APT31.
• ESET ha riferito, all’indirizzo febbraio 2021, di aver individuato una backdoor di tipo “ Linux” denominata SideWalk, utilizzata per compromettere un’università di Hong Kong. Mandiant attribuisce gran parte di questa attività a APT41.

Mandiant ha inoltre rilevato prove che indicano come presunti operatori cinesi di spionaggio informatico stiano impiegando malware personalizzato per mascherare il traffico all’interno delle reti delle vittime, ricorrendo a tecniche di dirottamento del protocollo DNS, HTTP e TCP/IP.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

«La maggior parte delle tattiche sopra citate non è nuova per gli attori cinesi coinvolti nello spionaggio informatico, né è esclusiva di tali attori. Mandiant ha raccolto queste informazioni con l’intento di evidenziare il modo in cui gli attori cinesi coinvolti nello spionaggio informatico utilizzano tali tattiche nell’ambito di una «più ampia evoluzione verso operazioni più mirate, discrete ed efficaci».

Gli episodi descritti in dettaglio da Mandiant sono tutti esempi di campagne di successo. Ciò indica che gli sforzi compiuti da questi soggetti per sviluppare nuove tattiche, tecniche e procedure (TTP) volte a eludere l’individuazione stanno dando i loro frutti.”

Ha qualche riflessione su queste storie che desidera condividere? Visiti i siti , , il forum di discussione di Tanium,e  per avviare una conversazione.

Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .