Nella rassegna di questa settimana, CTI approfondisce la scoperta di un trojan di accesso remoto (RAT) finora sconosciuto, che i ricercatori nel campo della sicurezza informatica hanno denominato SharpRhino. Successivamente, CTI mette in evidenza un rapporto di Sophos che illustra in dettaglio come i gruppi di autori di ransomware stiano diventando sempre più aggressivi. Infine, CTI sta indagando su una nuova campagna di phishing che sfrutta i disegni di Google e i link di WhatsApp per eludere i sistemi di rilevamento.
1. Il RAT SharpRhino rappresenta una minaccia per gli amministratori IT
Il Quorum Cyber Incident Response Team ha recentemente individuato un malware finora sconosciuto, che il gruppo ha ora denominato “ ” (SharpRhino).
L'attacco è stato attribuito a un soggetto denominato Hunters International. Il gruppo distribuisce il RAT SharpRhino alle vittime utilizzando un dominio di typosquatting che finge di essere lo strumento open source Angry IP Scanner.
Chi è Hunters International?
According to Quorum Cyber, Hunters International is the 10th most active ransomware group in 2024. Si ritiene che il gruppo, osservato per la prima volta nel 2023, sia collegato all’operazione di ransomware Hive, con sede in Russia e ormai dismessa.
Hunters International opera come molte altre operazioni di tipo “ransomware-as-a-service” (RaaS) , crittografando i file ed esfiltrando i dati dagli ambienti delle vittime. Il programma di crittografia del gruppo è stato sviluppato in Rust e presenta un elevato livello di sofisticazione. Hunters International si è rivolta a organizzazioni di tutto il mondo e operanti in vari settori.
Analisi del RAT SharpRhino
Il malware iniziale — un file denominato “ “ipscan-3,9,1-setup.exe” — è un programma di installazione Nullsoft contenente un archivio autoestraente.
- Programma di installazione NSIS: le vittime scaricano SharpRhino credendo di installare il programma di installazione legittimo di AngryIP. Il programma di installazione contiene un archivio protetto da password che viene estratto tramite i file 7za.exe e 7za.dll incorporati.
- Persistenza: il malware garantisce la propria persistenza modificando una chiave di esecuzione del Registro di sistema. Modifica il Registro di sistema inserendo un collegamento a “Microsoft.AnyKey.exe”, che contiene la versione legittima di Visual Studio 2019 disponibile all’indirizzo Microsoft.
- Installazioni multiple: il programma di installazione crea due directory, ovvero “ WindowsUpdater24 ” e “LogUpdateWindows”. Entrambe le directory contengono file binari e file che verranno successivamente utilizzati per la comunicazione C2 . La creazione di due directory anziché una sola è probabilmente finalizzata a garantire una maggiore persistenza.
- Esecuzione: il codice C# del malware è fortemente offuscato. Il codice sorgente viene caricato in un ambiente di sviluppo integrato (IDE) e, una volta eseguito, invia una richiesta HTTP POST con i dati della richiedent JSON . Quorum Cyber ha accertato che il malware risponde a due comandi hardcoded, ovvero “delay” ed “exit”. Il comando "delay" provvederà a «riconfigurare il timer prima che il malware effettui un’altra richiesta POST per recuperare il comando successivo», mentre il comando "exit" si limita a uscire dal ciclo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Hunters International si è rivelata una minaccia significativa, con già 134 attacchi registrati su 2024.
Uno dei motivi per cui il fornitore di RaaS riscuote così tanto successo è che introduce regolarmente nuove funzionalità nella propria offerta, come SharpRhino.
Questa tecnica non è tecnicamente sofisticata, ma sta diventando incredibilmente diffusa e costituisce pertanto un monito a prestare attenzione e a agire con cautela quando si cercano file da scaricare.
2. Le bande di autori di ransomware intensificano la pressione sui propri bersagli
Secondo un rapporto di Sophos pubblicato su “ ” (), i gruppi di autori di ransomware stanno diventando sempre più aggressivi nel convincere le vittime a effettuare i pagamenti.
I gruppi di ransomware stanno ora ricorrendo a una combinazione di tattiche tradizionali e innovative, il che segna una chiara evoluzione nel loro approccio. Sophos suddivide queste tattiche in diverse categorie, tra cui la legislazione e i contenziosi, l’etica, il danno alla reputazione, l’imbarazzo, i dati sensibili e lo “swatting”.
Normativa e strategie processuali
Sophos ha rilevato diversi casi in cui gli autori di attacchi ransomware hanno strumentalizzato la legislazione o hanno incoraggiato vittime secondarie, quali clienti o dipendenti, ad aumentare la pressione sulle organizzazioni colpite intentando azioni legali. Un esempio in tal senso è stato l’incidente BlackCat verificatosi presso l’ novembre 2023 , in cui l’autore dell’attacco ha presentato una denuncia alla SEC contro una delle vittime, sostenendo che la società non avesse notificato alla SEC la violazione.
Un altro esempio ha riguardato la banda di autori del ransomware Monti. Tale operazione ha rivelato che un dipendente di una delle organizzazioni compromesse stava cercando materiale inappropriato, fornendo come prova la cronologia del browser e una finestra di “ PowerShell ” che mostrava il nome utente del presunto responsabile. Il gruppo di autori del ransomware ha poi affermato che avrebbe segnalato l’utente alle autorità qualora il riscatto non fosse stato pagato.
Gli autori degli attacchi ransomware stanno inoltre incoraggiando le persone le cui informazioni di identificazione personale (PII) sono state divulgate a seguito di una violazione a partecipare a un’azione legale, indicando i nomi di individui specifici che ritengono responsabili.
Etica, danno alla reputazione e tattiche intimidatorie
Tali tattiche si riscontrano comunemente quando gli autori di attacchi ransomware si dichiarano "etici", si spacciano per pen tester o fingono di condurre audit di sicurezza. Spesso i responsabili sottolineano che le loro vittime erano “irresponsabili” o “negligenti”, nella speranza che l’opinione pubblica guardi con sfavore all’organizzazione e consideri il responsabile come una figura benevola.
Sophos ha rilevato diversi casi in cui gli autori degli attacchi hanno minacciato di contattare i clienti o i partner di un’organizzazione compromessa per esercitare una maggiore pressione. In tali casi, l’attore ha esercitato pressioni da più fronti, tra cui i media, i consumatori, i clienti o gli organismi di regolamentazione.
Dati sensibili, swatting e altro ancora
I gruppi di ransomware spesso pubblicano le informazioni sottratte dopo i propri attacchi. Gli attori hanno reso pubbliche informazioni di natura medica, tra cui cartelle cliniche relative alla salute mentale, cartelle cliniche dei figli, risultati delle analisi del sangue e altro ancora.
In un caso particolarmente eclatante, il gruppo di autori del ransomware Qiulong ha pubblicato immagini dei documenti d’identità della figlia di un membro dell’ CEO, insieme a un link diretto al suo profilo Instagram. Più recentemente, nell’articolo “ gennaio 2024 ”, un autore di minacce ha minacciato di compiere un “swat” ai danni dei pazienti di un ospedale oncologico.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come indica il rapporto di Sophos, gli autori degli attacchi ransomware stanno adottando un approccio sempre più aggressivo nelle loro campagne. Ciò dimostra inoltre come i gruppi di autori di ransomware si stiano evolvendo e ricorrano a tattiche sia tradizionali che innovative per intimidire le vittime.
Molte delle nuove tattiche, come le telefonate e lo “swatting”, rivelano come gli autori di tali azioni siano disposti a «trasferire le minacce dalla sfera digitale al mondo reale». Queste tattiche dimostrano come gli autori degli attacchi ransomware stiano diventando sempre più sofisticati, ricorrendo a diverse strategie per minacciare le vittime.
3. Una nuova truffa di phishing sfrutta i concorsi a premi di “ Google ” e i link su WhatsApp
Menlo Security ha individuato una nuova campagna di phishing che sfrutta i disegni disponibili su e Google , nonché i link abbreviati di WhatsApp , per eludere il rilevamento.
In questa campagna, l’autore dell’attacco invia un’e-mail di phishing del tipo “ ” ( ) e chiede alla vittima di confermare i dati del proprio account Amazon . Includono inoltre un'immagine ospitata su Google Drawings. Il sito fasullo finisce per raccogliere le credenziali delle vittime, i dati delle loro carte di credito e altre informazioni personali.
L'e-mail di phishing
Le vittime ricevono un’e-mail di phishing in cui viene loro chiesto di verificare il proprio account Amazon , con la motivazione che tale account sarebbe stato sospeso a causa di attività di accesso insolite.
L'autore dell'attacco cercherà di creare un senso di urgenza concedendo alla vittima 24 ore per verificare l'account, pena la sospensione definitiva.
Il sito di phishing
Se l'utente fa clic su un pulsante per verificare il proprio account, viene reindirizzato a un sito di phishing che riproduce la pagina di accesso ufficiale di Amazon . Il link è stato creato utilizzando un servizio di accorciamento dei link di WhatsApp URL . All’abbreviazione URL viene inoltre aggiunto un altro servizio di abbreviazione URL per i codici QR dinamici.
Furto di dati
Dopo che l’utente ha inserito le proprie credenziali di accesso a Amazon , viene guidato attraverso quattro pagine diverse, ciascuna delle quali mira a convincerlo che sta compiendo un’azione volta a proteggere il proprio account.
In ciascuna di queste pagine, l’autore dell’attacco raccoglie diverse informazioni. Menlo sottolinea che non è necessario che la vittima scorra tutte e quattro le pagine affinché i propri dati vengano sottratti, poiché le informazioni vengono trasmesse al termine di ogni pagina.
Di seguito è riportata una descrizione dettagliata della procedura:
- Nella pagina “Security Checkup” verrà richiesto alla vittima di inserire informazioni quali il cognome da nubile della madre, la data di nascita e il numero di telefono.
- L'utente verrà quindi reindirizzato a una pagina di pagamento, dove gli verranno richiesti i dati della carta di credito.
- Una volta completate le quattro pagine, gli utenti vengono reindirizzati alla pagina di phishing originale.
- Menlo ha confermato che «una volta inserite e convalidate le credenziali, la pagina web non è più accessibile dallo stesso indirizzo IP».
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna di phishing è leggermente più articolata rispetto alle campagne tradizionali. L’autore dell’attacco non solo cerca di raccogliere credenziali e dati delle carte di credito, ma anche domande di sicurezza comuni, come il cognome da nubile della madre. Questa informazione, se combinata con altre informazioni di base sottratte, potrebbe consentire a un autore di attacchi di accedere ad altri account che richiedono domande di sicurezza simili.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
