Nella rassegna di questa settimana, CTI offre una panoramica della piattaforma di phishing-as-a-service (PhaaS) Sniper Dz, illustrandone l’infrastruttura e le tattiche. A seguire, CTI illustra i punti salienti del rapporto “ 2024 Global Threat Report” di Elastic Security Labs. Il CTI esamina inoltre prove recenti secondo cui diverse organizzazioni negli Stati Uniti sarebbero state prese di mira da un attore sostenuto dallo Stato nordcoreano noto come Andariel (alias Stonefly).
Sniper Dz prende di mira i social media e i servizi online
Palo Alto ha monitorato attentamente (si apre in una nuova scheda) , la piattaforma di phishing-as-a-service (PhaaS) Sniper Dz (si apre in una nuova scheda) e ha condiviso la propria analisi dell’infrastruttura e delle tattiche della piattaforma.
Secondo Palo Alto, Sniper Dz prende di mira le principali piattaforme di social media e i servizi online e dispone di almeno 140.000 siti web di phishing ad esso associati.
Uno sguardo più approfondito alla piattaforma Sniper Dz
La piattaforma Sniper Dz consente agli autori di attacchi di phishing di tipo “ ” (si apre in una nuova scheda) con estrema facilità, poiché il suo pannello di amministrazione permette loro di generare rapidamente pagine di phishing. Per accedere al pannello di amministrazione, gli attori devono creare un account utilizzando un indirizzo e-mail. Grazie a questo account, possono accedere a una serie di pagine di phishing che prendono di mira diversi marchi e utenti.
Una volta ottenuto l'accesso alla piattaforma, gli autori delle minacce dispongono di due metodi per sferrare attacchi:
- Pagine di phishing ospitate sull’infrastruttura di Sniper Dz
- Modelli di phishing scaricabili ospitati su altre infrastrutture
Pagine e modelli di phishing di Sniper Dz
Con questa tattica, l’autore dell’attacco non deve configurare un server web per ospitare i siti, e i contenuti delle pagine di phishing sono nascosti dietro server proxy . Se invece l’attore utilizza i modelli di phishing scaricabili sulla propria infrastruttura, ha a disposizione numerose opzioni.
Infrastrutture e tattiche
Sniper Dz nasconde i propri contenuti di phishing dietro server pubblici di tipo “ proxy ”. Il servizio fa un uso improprio del legittimo server di proxy pubblico proxy , ovvero proxymesh[.]com.
Il gruppo configura il server proxy in modo che carichi automaticamente contenuti di phishing senza alcuna comunicazione diretta. In questo modo, il gruppo contribuisce a proteggere i propri server di backend, poiché il browser rileverà il server proxy come responsabile del caricamento del sito di phishing.
Inoltre, il gruppo offusca il codice dei propri modelli di phishing e trasferisce le credenziali rubate verso un’infrastruttura centralizzata di proprietà di Sniper Dz.
Monitoraggio delle vittime e dei modelli
Sniper Dz tiene traccia delle proprie vittime grazie a codice JavaScript personalizzato incorporato e a server di analisi dei dati.
Lo script caricherà un tracker da un server di analisi legittimo per tracciare le vittime che visitano i link ospitati sulla propria infrastruttura e quelli ospitati su infrastrutture diverse.
Attacchi noti che utilizzano Sniper Dz
Dal 2023, Palo Alto ha individuato oltre 140.000 pagine di phishing associate a Sniper Dz.
Il gruppo è rimasto attivo durante questo periodo, sebbene sembri aver raggiunto il suo apice verso la fine del 2023. Sniper Dz vanta migliaia di clienti e, al agosto 2024, conta 7.156 iscritti al proprio canale Telegram.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La ricerca condotta da Palo Alto indica che numerosi soggetti potrebbero avvalersi della piattaforma Sniper Dz PhaaS in base al numero dei propri iscritti su Telegram e alle proprie infrastrutture.
Telegram ha recentemente aggiornato la propria informativa sulla privacy, precisando che d’ora in poi condividerà i numeri di telefono e gli indirizzi IP degli utenti con le forze dell’ordine in seguito a ordinanze giudiziarie. Questo cambiamento di politica potrebbe indurre gli autori delle minacce a spostare la propria attività.
Detto questo, sarà interessante vedere se i servizi dannosi venduti su Telegram (si apre in una nuova scheda), come ad esempio Sniper Dz, continueranno a prosperare su Telegram o altrove.
Elastic Security Labs pubblica il suo “ 2024 Global Threat Report”
Elastic Security Labs ha pubblicato il proprio rapporto globale sulle minacce “ ” per il 2024 (si apre in una nuova scheda), che include le più recenti minacce alla sicurezza informatica e le tendenze relative all’intelligenza artificiale generativa (si apre in una nuova scheda), al malware, endpoint ai comportamenti dei malintenzionati e alla sicurezza nel cloud.
Intelligenza artificiale generativa
Elastic ha osservato che gli autori delle minacce sfruttano l’intelligenza artificiale generativa in diversi modi, uno dei più evidenti dei quali è rappresentato dalle campagne di phishing. Non sorprende che gli operatori del settore possano avvalersi dell’intelligenza artificiale per ampliare la portata delle proprie attività e potenziare le proprie strategie di ingegneria sociale (si apre in una nuova scheda) , personalizzando più facilmente le proprie campagne. Un’ulteriore conferma di ciò si riscontra nell’ e diffusione attuale dei deepfake (si apre in una nuova scheda).
Oltre al phishing, gli autori di attacchi stanno sfruttando l’intelligenza artificiale per lo sviluppo di malware. Questa pratica non è ancora stata ampiamente adottata, ma sta lentamente prendendo piede.
Rilevamenti di malware
Il rapporto di Elastic analizza inoltre i diversi tipi di malware in circolazione e i sistemi operativi presi di mira. Windows rimane il sistema operativo più preso di mira.
Hanno esaminato le firme di YARA relative ai tipi e alle categorie di malware per suddividere i propri dati. Hanno riscontrato che i trojan costituivano la stragrande maggioranza del malware da loro rilevato.
Infine, per quanto riguarda le famiglie di malware, quelle più diffuse sono state , Cobalt Strike (si apre in una nuova scheda),, e Metasploit.
Comportamenti degli endpoint
Elastic ha analizzato le tattiche, le tecniche e le procedure (TTP) più comunemente osservate su sistemi Windows, macOS e Linux. La maggior parte dei comportamenti " endpoint" da loro osservati era legata all'elusione delle difese, rappresentando il 38,99% di tutte le tattiche osservate, con un calo del 6% rispetto all'anno precedente. Le tattiche successive più diffuse sono state “Esecuzione” e “Perseveranza”, con una percentuale complessiva pari a circa il 30%.
Le tecniche più comuni per l’ Windows e erano l’iniezione di processi, l’esecuzione di file binari di sistema proxy e le difese compromesse. Per quanto riguarda “ Linux”, la tecnica più utilizzata è stata quella di compromettere le difese, seguita dalla modifica dei permessi di file e directory.
Infine, il caricamento di codice riflessivo è risultato essere la principale tecnica di elusione delle difese per macOS, seguita dall’aggiramento dei controlli di affidabilità e dalla rimozione degli indicatori.
Sicurezza nel cloud
Elastic ha riscontrato che le organizzazioni continuano a configurare in modo errato gli ambienti cloud (si apre in una nuova scheda) e/o a non implementare le misure di sicurezza adeguate, consentendo così agli autori delle minacce di agire impunemente in tali ambienti.
Uno dei problemi più ricorrenti riscontrati riguardava l’archiviazione: il 47% degli errori relativi a Azure era legato agli account di archiviazione e circa il 30% degli errori relativi a AWS derivava da S3 controlli.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il rapporto di Elastic approfondisce l’argomento più di molti altri rapporti sulle tendenze disponibili sul mercato, analizzando gli aspetti in base a specifiche strategie.
Uno degli spunti più interessanti è stato il commento di Elastic sull’impatto – o sulla sua assenza – dell’intelligenza artificiale:
Le capacità dell’intelligenza artificiale non hanno trasformato il panorama né in meglio né in peggio: non hanno portato a un’esplosione di nuove minacce e non hanno creato un vantaggio tale da eliminare tutte le minacce.
Si tratta di un importante promemoria: sebbene si parli comunemente di intelligenza artificiale (IA) di tipo “ ” (si apre in una nuova scheda) e sebbene essa possa offrire vantaggi agli autori delle minacce, non stiamo ancora assistendo a un’adozione esplosiva dell’IA nel panorama delle minacce.
Andariel sferra attacchi finanziari contro organizzazioni statunitensi
Symantec ha recentemente scoperto prove (si apre in una nuova scheda) secondo cui il gruppo nordcoreano Andariel avrebbe preso di mira diverse organizzazioni negli Stati Uniti.
Secondo Symantec, l’autore dell’attacco non è riuscito a distribuire il ransomware (si apre in una nuova scheda) a queste vittime. Gli attacchi indicano che tale soggetto continua a compiere attacchi, nonostante sia stato recentemente oggetto di un atto di accusa.
Chi è Andariel?
Il gruppo Andariel è collegato all’agenzia di intelligence militare nordcoreana, l’Ufficio Generale di Ricognizione (RGB).
This actor first appeared in 2009 when it carried out DDoS attacks (opens in a new tab) against several South Korean, U.S. government, and financial websites.
Attribuzione
Symantec ha accertato che il gruppo Andariel continua a sferrare attacchi a scopo di lucro, in particolare contro organizzazioni statunitensi.
Nel corso di diversi attacchi, l’autore ha utilizzato il proprio malware personalizzato, Backdoor.Preft, che era già stato attribuito a questo gruppo in precedenza. Gli attacchi hanno inoltre lasciato diverse tracce di compromissione che il gruppo Microsoft aveva già individuato in precedenza negli attacchi di Andariel.
Nel caso “ luglio 2024”, il Dipartimento di Giustizia degli Stati Uniti ha incriminato un cittadino nordcoreano con l’accusa di essere coinvolto in un recente attacco Andariel. L’individuo è accusato di essere coinvolto in attività di estorsione ai danni di ospedali statunitensi e di altre entità tra il 2021 e il 2023 (si apre in una nuova scheda), di riciclaggio dei proventi dei riscatti e di utilizzo di tali proventi per finanziare altri attacchi informatici contro i settori della difesa, della tecnologia e governativi a livello globale.
Tra gli obiettivi di questi attacchi successivi figurano due basi dell’Aeronautica Militare degli Stati Uniti e la NASA-OIG.
Quali strumenti utilizza Andariel?
Come già osservato, questo attore ricorre comunemente a un malware denominato Preft, una backdoor a più fasi in grado di scaricare file, caricare file, eseguire comandi e scaricare plugin aggiuntivi.
L'autore del malware utilizza inoltre una backdoor aggiuntiva denominata Nukebot, che presenta funzionalità simili ma con l'aggiunta della possibilità di acquisire schermate. Il codice sorgente di questo strumento era già trapelato in precedenza, ed è probabile che sia proprio in questo modo che l’autore dell’attacco abbia ottenuto l’accesso allo strumento.
Si è inoltre osservato che l’autore utilizza strumenti più comuni quali file batch dannosi, Mimikatz, keylogger, Sliver, Chisel, PuTTY, Plink, Megatools, Snap2HTML e FRP.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come sottolinea Symantec:
L'atto di accusa che cita uno dei suoi membri non ha ancora portato alla cessazione delle attività.
Semmai, sembra che l’atto di accusa abbia incoraggiato il gruppo a proseguire le proprie attività, in particolare contro gli Stati Uniti. Questo gruppo è attivo da ben oltre un decennio ed è sopravvissuto a diverse forme di ostacolo; è probabile che continueremo a vederlo prosperare ancora per qualche tempo.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”: (si apre in una nuova scheda),e .
