Questa settimana, CTI indaga su un gruppo di spionaggio cinese noto come Silk Typhoon, che attualmente sta prendendo di mira le soluzioni IT per ottenere un accesso iniziale. Successivamente, CTI analizza una campagna in cui gli autori delle minacce inviano false richieste di riscatto ai dirigenti tramite posta ordinaria. Infine, CTI analizza una campagna di phishing di tipo “ ” in stile ClickFix (si apre in una nuova scheda) volta a distribuire un agente Havoc Demon modificato.
Silk Typhoon cambia strategia
Microsoft Recentemente è stato osservato (si apre in una nuova scheda) un cambiamento negli obiettivi e nelle tattiche, tecniche e procedure (TTP) adottate dal gruppo Silk Typhoon, un’organizzazione di spionaggio cinese. Il gruppo sta riorientando la propria attenzione verso servizi IT comuni, tra cui strumenti di gestione remota e applicazioni cloud, come punto di accesso iniziale.
Ad esempio, il gruppo sfrutta in modo improprio chiavi API e credenziali rubate — in particolare quelle associate alla gestione degli accessi privilegiati (PAM), ai fornitori di servizi di cloud App e alle società di gestione dei dati nel cloud — per compromettere le catene di approvvigionamento (si apre in una nuova scheda).
È stato inoltre osservato che il gruppo ha intrapreso diverse azioni successive al furto che gli consentono di infiltrarsi ulteriormente e di sfruttare le catene di approvvigionamento compromesse, con conseguenti ripercussioni più ampie su diverse organizzazioni, tra cui:
- Raggiungere i clienti o gli inquilini a valle
- Utilizzo dei privilegi di accesso per effettuare ricognizioni a fini di spionaggio
- Ripristino degli account amministratore predefiniti
- Inserimento di web shell
- Creazione di utenti aggiuntivi
Secondo Microsoft , le vittime di tale attività a valle erano principalmente legate a , alle amministrazioni statali e locali (si apre in una nuova scheda) e al settore IT.
Chi è Silk Typhoon?
Silk Typhoon è un gruppo cinese di spionaggio informatico attivo almeno dal 2020. Secondo quanto riportato su Microsoft, il gruppo è noto per «rendere rapidamente operativi gli exploit relativi alle vulnerabilità zero-day individuate nell’ (si apre in una nuova scheda) nei dispositivi periferici».
Precedentemente noto come Hafnium, il gruppo prende di mira principalmente organizzazioni negli Stati Uniti operanti in vari settori, tra cui tecnologia (si apre in una nuova scheda), agenzie governative e altro ancora.
Come sottolinea Microsoft , il gruppo è incredibilmente sofisticato e «vanta una delle più ampie sfere di influenza tra gli attori malintenzionati cinesi». L’ampio raggio d’azione è dovuto principalmente all’approccio opportunistico del gruppo, che prevede la selezione delle potenziali vittime attraverso operazioni di scansione delle vulnerabilità. Questo gruppo ha dimostrato di comprendere gli ambienti cloud grazie alla sua capacità di operare con successo al loro interno.
Attacchi di tipo “password spray” e uso improprio delle password
Microsoft Si è inoltre osservato che tale attore ha ottenuto l’accesso iniziale tramite attacchi di tipo “password spray” e altre tecniche legate alle password.
L'attore condurrà attività di ricognizione utilizzando password aziendali trapelate.
TTP recenti
Nei recenti attacchi di Silk Typhoon, l’autore ottiene l’accesso iniziale creando exploit zero-day oppure individuando e prendendo di mira istanze di servizi vulnerabili. L’attore sembra concentrarsi sui fornitori di servizi IT, sulla gestione delle identità (si apre in una nuova scheda), sulla gestione degli accessi privilegiati e sulle soluzioni RMM. In “ gennaio 2025”, Microsoft ha osservato che l’autore dell’attacco ha sfruttato in modo specifico una vulnerabilità zero-day presente nella VPN Pulse Connect di Ivanti.
Una volta ottenuto l’accesso iniziale, è noto che l’autore dell’attacco ricorra a tattiche comuni per spostarsi dall’ambiente on-premise al cloud. A tal fine, si osserva che l’autore dell’attacco inserisca un “ ” in Active Directory (si apre in una nuova scheda), sottragga password dai “key vault” e ottenga privilegi di livello superiore. Microsoft In questa fase dell’attacco, l’autore ha inoltre preso di mira i server AADConnect di Microsoft (Entra Connect).
È stato osservato che il gruppo abusava dei principi di servizio e delle applicazioni OAuth per sottrarre dati relativi a posta elettronica, OneDrive e SharePoint tramite MSGraph. Inoltre, Microsoft ha rilevato casi in cui Silk Typhoon ha compromesso applicazioni multi-tenant. Inoltre, è noto che il gruppo si avvalga di reti clandestine per nascondere le proprie attività illecite.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Un aspetto fondamentale da sottolineare è che gli autori degli attacchi stanno comprendendo quanto sia vantaggioso per loro prendere di mira un’organizzazione che abbia clienti a valle, al fine di ottenere un impatto ancora maggiore, aumentando così notevolmente la minaccia.
Inoltre, Silk Typhoon non utilizza un’infrastruttura dedicata. Il gruppo ricorrerà invece a reti compromesse, proxy e simili, rendendo più agevole mimetizzare le proprie attività dannose tra quelle legittime. Questo, unito alla strategia di selezione opportunistica del gruppo, rende sicuramente Silk Typhoon un soggetto da tenere d’occhio. È inoltre possibile che si inizi a osservare come altri attori imitino le strategie di attacco e le tecniche, tattiche e procedure (TTP) di Silk Typhoon.
Microsoft consigli utili condivisi su (si apre in una nuova scheda), linee guida per la ricerca, domande e vari avvisi di Defender che possono aiutare a identificare attività correlate.
Gli autori delle minacce prendono di mira i dirigenti con richieste di riscatto in formato cartaceo
GuidePoint Security ha ricevuto diverse segnalazioni (si apre in una nuova scheda) da parte di diverse organizzazioni in merito a una falsa richiesta di riscatto inviata tramite posta ordinaria. Tali lettere vengono inviate da indirizzi situati negli Stati Uniti a dirigenti aziendali e contengono dettagli che spesso figurano nelle richieste di riscatto ricevute per via digitale.
Cosa contiene la falsa lettera di riscatto?
Il contenuto di ciascuna lettera è simile a quello delle richieste di riscatto che vengono solitamente lasciate sui dispositivi compromessi. Nella prima parte della lettera si afferma che l’autore dell’attacco è riuscito ad accedere ai sistemi aziendali della vittima e sta progressivamente sottraendo informazioni sensibili. Come accade nella maggior parte delle richieste di riscatto, questa lettera chiede al destinatario di effettuare un pagamento. In questo caso, il pagamento viene richiesto sotto forma di Bitcoin e include un codice QR con l'indirizzo del portafoglio. GuidePoint ha rilevato richieste di riscatto comprese tra 250.000 e 350.000 dollari.
Le buste cartacee recano la dicitura “TIME SENSITIVE READ IMMEDIATELY” e sono affrancate con un francobollo “Forever” raffigurante la bandiera americana.
Indicatori di una richiesta di riscatto
L'autore della lettera afferma di far parte del gruppo BianLian dell' : (si apre in una nuova scheda). Tuttavia, GuidePoint ritiene che questa lettera non provenga dal gruppo BianLian autentico.
L'elemento più discutibile è il fatto che questa sarebbe la prima volta in cui un gruppo di autori di ransomware invia una lettera di riscatto cartacea. Inoltre, la formulazione e il contenuto effettivi della lettera differiscono dalle richieste di riscatto inviate in precedenza da BianLian, poiché in questo caso l’inglese è quasi perfetto e le strutture sintattiche sono complesse.
Un’altra differenza evidente è che questa lettera non offre alcuna possibilità di negoziare il riscatto né di contattare l’autore dell’attacco tramite e-mail o il dark web. Infine, GuidePoint riferisce che gli indirizzi dei portafogli Bitcoin erano stati creati di recente e non erano stati precedentemente collegati ad alcun gruppo.
[Leggi anche: L’arte della negoziazione con i ransomware] (si apre in una nuova scheda)
Soprattutto, GuidePoint sottolinea che «nei casi in cui abbiamo constatato l’invio di tali lettere, non abbiamo rilevato attività di intrusione, note o sospette, che facessero pensare a operazioni di ransomware».
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È strano constatare che gli autori delle minacce stiano tornando a ricorrere ad alcune tecniche molto elementari e ormai superate, come l’invio di messaggi tramite posta ordinaria. In genere, gli autori delle minacce inviano chiavette USB tramite posta ordinaria che, una volta collegate a un dispositivo, eseguono il caricamento di malware.
In questo interessante sviluppo, l’autore dell’attacco invia contenuti di ingegneria sociale di tipo “ ” (si apre in una nuova scheda) tramite posta ordinaria, anziché veri e propri contenuti dannosi. Tuttavia, potrebbe non trattarsi di una rivisitazione di un classico, bensì di un altro attore che si limita a fingere di essere una nota operazione di ransomware.
Al momento non vi è alcuna conferma che l'operazione del ransomware BianLian stia inviando tali lettere. Potrebbe trattarsi semplicemente di un altro autore di minacce che cerca di guadagnare rapidamente qualche dollaro senza dover mettere in atto alcuna strategia tecnicamente sofisticata tipica di un attacco normale.
Gli hacker utilizzano il trucco ClickFix per distribuire un agente Havoc Demon modificato
Fortinet ha individuato (si apre in una nuova scheda) una campagna di phishing in stile ClickFix che tenta di installare un agente Havoc Demon modificato.
Ciò che contraddistingue questa campagna è il fatto che l’autore dell’attacco utilizzi SharePoint per occultare ogni fase del malware e si avvalga dell’API Graph di Microsoft per integrare perfettamente le proprie comunicazioni C2 .
Accesso iniziale
Secondo Fortinet, l’attacco ha inizio con una tradizionale e-mail di phishing che contiene un allegato in formato HTML. L’e-mail stessa crea un senso di urgenza, comunicando al destinatario che potrebbe trovarsi ad affrontare “difficoltà operative” qualora non prendesse visione della comunicazione allegata. Il file allegato, Documents.html, è un tipico attacco ClickFix di (si apre in una nuova scheda). Presenta un messaggio di errore fasullo che induce la vittima a copiare, incollare ed eseguire il file dannoso PowerShell.
Il carico utile
Il payload — che consiste in uno script di tipo “ PowerShell ” — è ospitato su SharePoint. Quando la vittima esegue questo script, esso verificherà innanzitutto se è in esecuzione in un ambiente sandbox prima di eliminare le chiavi di registro presenti in “HKCU:\Software\Microsoft” il cui nome inizia con “zr_”.
A quel punto aggiungerà la proprietà specificata come indicatore di infezione. Lo script proseguirà per verificare che l’interprete Python, python.exe, sia presente sul dispositivo, quindi scaricherà ed eseguirà lo script Python remoto. Tale operazione viene eseguita in finestre nascoste per evitare di destare sospetti nella vittima.
Caricatori di shellcode
Fortinet rileva che lo script Python è ospitato anche su SharePoint, contiene informazioni di debug ed è scritto in russo. Questo script funziona come un caricatore di shellcode e viene eseguito tramite l'interprete Python nel terminale.
Un caricatore di shellcode di tipo “ GitHub ” denominato “KaynLdr” caricherà in modo riflessivo una DLL incorporata. Il suo scopo principale è quello di complicare l'analisi, poiché utilizza l'hashing delle API con un algoritmo DJB2 modificato e API ntdll risolte per la mappatura e l'allocazione della memoria.
Informazioni su Havoc Demon DLL
Havoc è un framework open source C2 comunemente utilizzato nelle attività di red team nell’ambito dell’ : (si apre in una nuova scheda).
In questo caso, l’autore dell’attacco combina Havoc con l’API Graph di Microsoft per occultare le comunicazioni C2 . L'autore del codice utilizza una DLL Havoc Demon modificata e una seconda funzione che sfrutta l'API Graph per inizializzare i file sul sito SharePoint.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È interessante notare che gli attacchi in stile ClickFix stiano diventando sempre più diffusi, considerando che si basano in larga misura sull’interazione della vittima. Non solo la vittima deve essere indotta con l’inganno tramite un’e-mail di phishing, ma deve anche continuare a copiare, incollare ed eseguire un file PowerShell dannoso.
Questo specifico attacco ricorre inoltre a un’altra tattica diffusa: sfruttare servizi legittimi quali l’API Graph di Microsoft e SharePoint. Queste fonti attendibili e conosciute potrebbero contribuire a tassi di successo più elevati.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
