Questa settimana, CTI esamina una nuova collaborazione tra il gruppo di hacker Scattered Spider e l’operazione RansomHub , un servizio di ransomware-as-a-service (RaaS) (si apre in una nuova scheda). Nel prossimo articolo, CTI analizza come gli infostealer si stiano evolvendo per aggirare la crittografia basata su Appdi Google, nell’articolo “ Chrome”. Infine, CTI illustra in che modo l’attore malintenzionato Evasive Panda utilizzi una suite di strumenti post-compromissione finora non documentata, denominata CloudScout, nei propri attacchi finalizzati al furto di dati tramite “ Cookie ”.
Scattered Spider stringe una partnership con RansomHub
Un recente incidente di sicurezza informatica rivela che il gruppo di hacker Scattered Spider sta ora collaborando con RansomHub per i propri attacchi.
Secondo ReliaQuest (si apre in una nuova scheda), l’autore dell’attacco ha raggiunto la fase di crittografia entro sei ore dall’ottenimento dell’accesso iniziale a due account dei dipendenti tramite tecniche di ingegneria sociale (si apre in una nuova scheda) rivolte all’help desk dell’organizzazione bersaglio.
Che cos’è “Scattered Spider”?
Il gruppo di cybercriminali Scattered Spider è attivo almeno dal maggio 2022. I ricercatori ritengono che il gruppo conti attualmente circa 1.000 autori di attacchi informatici di lingua inglese.
Sin dalla sua fondazione, i membri del gruppo hanno continuato a perfezionare le proprie competenze in materia di ingegneria sociale e a combinarle con varianti di ransomware legate alla Russia per sferrare attacchi.
Il gruppo era in precedenza affiliato all’operazione del ransomware BlackCat, prima che quest’ultima venisse sciolta. Scattered Spider sta ora utilizzando il ransomware RansomHub nei propri attacchi.
Analisi degli attacchi
ReliaQuest ha rilevato diversi comportamenti degni di nota nel corso di questo incidente, tra cui:
- L'attore ha dato prova di un'insistente strategia di ingegneria sociale. L'accesso iniziale è stato ottenuto ricorrendo a tecniche di ingegneria sociale nei confronti dei membri dell'help desk, riuscendo così a compromettere l'account del direttore finanziario. Dopo aver constatato che tale account non disponeva delle autorizzazioni necessarie per portare a termine il resto dell’attacco, l’autore dell’attacco è tornato all’help desk e ha utilizzato la stessa tattica di ingegneria sociale per compromettere un account di amministratore di dominio.
- Tra gli altri comportamenti degni di nota figuravano l’uso improprio delle infrastrutture di telecomunicazione, l’avvio di una macchina virtuale all’interno dell’ambiente ESXi per consentire il movimento laterale e la dimostrazione di un tempo di impatto rapido. L'attore è riuscito a compromettere l'account del direttore finanziario e quello dell'amministratore di dominio nel giro di un'ora dopo aver contattato l'help desk.
Un’analisi approfondita della tattica di ingegneria sociale di Scattered Spider
L'autore dell'attacco ha contattato il servizio di assistenza informatica dell'organizzazione e ne ha convinto il personale a reimpostare la password di un account appartenente al direttore finanziario dell'azienda. Successivamente hanno contattato l’help desk, sono stati messi in contatto con un altro dipendente e lo hanno convinto a reimpostare i controlli di autenticazione a più fattori (MFA) di (si apre in una nuova scheda) sull’account del direttore finanziario, consentendo così all’autore dell’attacco di registrare il proprio dispositivo per l’autenticazione a più fattori.
Dopo aver constatato che l’account non disponeva delle autorizzazioni necessarie per portare a termine con successo l’attacco, hanno effettuato una ricerca nel sito SharePoint dell’organizzazione per individuare un account di amministratore di dominio che consentisse loro di ottenere ciò di cui avevano bisogno. Con questo obiettivo in mente, l’attore ha contattato nuovamente l’help desk e ha richiesto la reimpostazione della password per quell’account di amministratore di dominio, che disponeva di privilegi di superamministratore di Okta .
Richiesta di riscatto tramite Teams di Microsoft
L’autore dell’attacco ha messo in atto un attacco di doppia estorsione crittografando l’ambiente ESXi, sottraendo dati, prendendo di mira le soluzioni di backup, crittografando i backup in loco, cancellando i backup nel cloud e, infine, richiedendo un riscatto (si apre in una nuova scheda). L'attore è riuscito a sottrarre diversi gigabyte di dati tramite Mega Cloud.
La richiesta di riscatto differiva inoltre dai tradizionali attacchi ransomware di tipo “ ” (si apre in una nuova scheda). In questo caso, l’autore dell’attacco ha inviato un messaggio su Microsoft Teams all’indirizzo Microsoft utilizzando un account di amministratore di dominio precedentemente compromesso. Il messaggio conteneva un link alla richiesta di riscatto. L'attore ha inoltre inviato un'e-mail dallo stesso account con oggetto: “Aggiornamento urgente sull'attacco informatico”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
In questa campagna di “Scattered Spider” vi sono molti elementi interessanti. Innanzitutto, è evidente che questo attore si muove velocemente e sta diventando sempre più veloce. Anche le loro tattiche di ingegneria sociale sembrano banali, eppure sono incredibilmente efficaci.
Inoltre, la richiesta di riscatto in questo esempio non è stata inviata sotto forma di un tradizionale file README. L'attore ha invece inviato la nota tramite Teams e messaggi e-mail.
ReliaQuest sottolinea inoltre come gli autori delle minacce di lingua russa e inglese stiano ora collaborando, come dimostra questa recente partnership. Storicamente, questi due gruppi non hanno collaborato spesso.
Scattered Spider e RansomHub non sono minacce da sottovalutare, soprattutto quando agiscono di concerto.
I programmi di furto di informazioni eludono le difese dell’ Chrome , anche dopo l’applicazione delle patch
All’inizio di quest’anno, Google ha introdotto la crittografia “ App” per il proprio browser Chrome , al fine di potenziare la protezione Cookie contro il malware. Questa misura è stata introdotta principalmente in risposta alla diffusione del malware di tipo "infostealer" ( Cookie ), finalizzato al furto di dati.
Elastic Security Labs (si apre in una nuova scheda) ha successivamente analizzato l’impatto di tale misura sul panorama delle minacce, individuando programmi di furto di dati dotati di nuovo codice volto ad aggirare tale protezione e a mantenere la propria competitività.
Contesto e cronologia
I ricercatori hanno individuato diverse tecniche utilizzate da una serie di malware per aggirare la funzionalità di crittografia basata su Appdi Google, tra cui Stealc/Vidar, MetaStealer, Phemedrone, XenoStealer e Lumma.
Tra questi metodi figurano il debug remoto tramite DevTools, la lettura della memoria di processo di un processo del servizio di rete Chrome , l’elevazione dei privilegi a SYSTEM e la successiva decrittografia della chiave App_bound_encryption_key.
Esaminiamo una cronologia di questi tipi di malware e il loro funzionamento:
- Stealc/Vidar: Verso la fine di settembre, Elastic ha rilevato nel malware Stealc, specializzato nel furto di informazioni, del nuovo codice specificamente correlato a questa tecnica di bypass Cookie , a pochi mesi dall’annuncio di Google (si apre in una nuova scheda). Questi campioni presentavano caratteristiche diverse rispetto ai precedenti campioni Stealc dotati di controlli condizionali.
Un file binario incorporato crea un desktop nascosto, esegue una scansione e termina tutti i processi chrome.exe, quindi avvia un nuovo processo chrome.exe sul nuovo desktop. Il malware selezionerà il modello di firma appropriato per la funzionalità di Chromium denominata CookieMonster. Il malware è in ultima analisi responsabile dell’estrazione dei valori non crittografati di Cookie in uno dei processi secondari di Chrome. - Metastealer: È stato osservato che questo malware per il furto di informazioni ha aggiornato il proprio codice per sottrarre dati da Chrome anche dopo le nuove misure di mitigazione adottate da Google. Il 30 settembre, l’autore di Metastealer ha annunciato su Telegram di aver potenziato la propria capacità di sottrarre i cookie nonostante le ultime modifiche apportate da Chrome.
- Phemedrone: Questo programma di furto di dati open source ha suscitato grande clamore per aver sfruttato la vulnerabilità SmartScreen di Windows non molto tempo fa (si apre in una nuova scheda).
Una nuova versione del malware inviata a settembre sembra includere una nuova funzionalità di acquisizione dell’ Cookie , specifica per Chrome. - Xenostealer: Si tratta di un altro stealer open source, attualmente ancora in fase di sviluppo attivo. Elastic sottolinea che la funzionalità di bypass dell’ Chrome è stata introdotta su 26 settembre.
- Lumma: A metà ottobre, una nuova versione di Lumma ha introdotto ulteriori metodi per aggirare le nuove funzionalità di protezione Cookie di Chrome.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo è un esempio lampante del ciclo infinito che si instaura tra gli autori delle minacce e i difensori: gli autori delle minacce scoprono modi per aggirare i controlli e le funzionalità; i difensori e i fornitori creano nuove funzionalità per impedire tali attività; e gli autori delle minacce, in risposta, sviluppano nuove strategie di aggiramento.
Elastic ha individuato alcune famiglie di malware che stanno attivamente mettendo a punto metodi per aggirare la crittografia basata su Appdi Chrome. È altamente probabile che altre famiglie di malware dimostrino presto capacità simili.
Evasive Panda utilizza CloudScout negli ultimi attacchi di tipo “ Cookie ”
Secondo ESET (si apre in una nuova scheda), l’autore delle minacce persistenti avanzate (APT) noto come Evasive Panda sta ora utilizzando nei propri attacchi un set di strumenti post-compromissione finora non documentato denominato CloudScout.
La suite di strumenti CloudScout recupera dati (si apre in una nuova scheda) da una serie di servizi cloud avvalendosi di cookie di sessione web sottratti e si integra con MgBot, il framework di malware caratteristico dell’autore dell’attacco.
Informazioni su Evasive Panda
Evasive Panda è attiva almeno dal 2012 e si occupa principalmente di campagne di spionaggio informatico.
All’inizio dell’articolo “ 2023 ” (si apre in una nuova scheda), l’autore ha utilizzato tre moduli .NET finora sconosciuti, progettati per accedere a servizi cloud pubblici dirottando sessioni web autenticate. La tecnica consiste nel sottrarre i cookie dal database di un browser e nell’utilizzarli in un determinato modo per ottenere l’accesso ai servizi cloud.
Analisi tecnica
CloudScout è un framework .NET dedicato al malware, composto da diversi moduli che prendono di mira vari servizi cloud.
Ad oggi, ESET ha identificato sette moduli di CloudScout, sebbene nessuno di essi sia stato ancora rilevato su sistemi compromessi. CloudScout riporta il copyright “ 2020 ”, il che indica che potrebbe essere stato sviluppato in quel periodo.
ESET ha individuato una chiave di crittografia comune, denominata “ RC4 ”, in tre dei moduli analizzati. In base a ciò, hanno stabilito che uno dei moduli, CGM, era stato implementato da un plugin MgBot utilizzato da Evasive Panda.
Pacchetto CommonUtilities
Il cuore di CloudScout è un pacchetto denominato CommonUtilities. Questo pacchetto include le librerie di basso livello necessarie per l'esecuzione di ciascun modulo. Il pacchetto è memorizzato nella sezione “resources” dei moduli e viene caricato durante l’esecuzione della funzione “ModuleStart”.
CommonUtilities comprende numerose librerie realizzate su misura, sebbene siano disponibili molte alternative open source simili. Queste librerie offrono agli sviluppatori di malware una maggiore flessibilità e un maggiore controllo sul funzionamento interno del loro impianto, rispetto ad altre alternative open source.
Autenticazione e recupero dei dati
Le piattaforme web non sempre forniscono informazioni adeguate sui cookie. CloudScout è in grado di sottrarre i cookie da Google Drive, Gmail e Outlook qualora la sessione sia ancora valida. Una volta completata l’autenticazione, lo strumento effettuerà una scansione dei servizi compromessi avvalendosi dei propri moduli, che contengono diverse richieste web predefinite.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Evasive Panda è un attore sofisticato, e lo è ormai da tempo. Sebbene la suite di strumenti CloudScout appaia complessa e possa avere un impatto significativo, vale la pena sottolineare che Google ha successivamente rilasciato funzionalità di protezione su Chrome per aiutare a difendersi dal malware Cookie-theft, proprio come CloudScout.
Come sottolinea ESET, ciò potrebbe potenzialmente rendere obsoleto lo strumento. Tuttavia, come in ogni altro ambito, se gli attori individuano un vantaggio in qualcosa, continueranno a cercare modi per aggirare tali misure.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
