Questa settimana, CTI mette in evidenza una campagna di ingegneria sociale che mira a sommergere gli utenti di e-mail di spam prima di presentarsi come il team IT dell’azienda. Successivamente, CTI esamina l’ultimo caso di studio di Palo Alto, che descrive in dettaglio le applicazioni di tunneling di tipo “ DNS ” che sono state osservate in ambiente reale. Infine, CTI sta indagando su una campagna attualmente in corso che sta diffondendo programmi di installazione compromessi per WinSCP e PuTTY tramite annunci pubblicitari dannosi.
1. Una campagna di ingegneria sociale in corso prende di mira le aziende
Una campagna di ingegneria sociale in corso, denominata “ ” ( ), cerca di sommergere gli utenti con numerose e-mail di spam prima di presentarsi come il team IT dell’azienda e contattare l’utente per offrirgli assistenza.
Come illustrato all'indirizzo , nell'ambito di questa campagna, una telefonata invita l'utente a scaricare un software di monitoraggio e gestione remota oppure a utilizzare la funzione Quick Assist integrata in Microsoft per stabilire una connessione remota con il dispositivo. L'autore dell'attacco procede quindi a scaricare payload dannosi, a raccogliere credenziali e a garantire la persistenza.
Sebbene gli attacchi non coinvolgano ransomware, gli indicatori di compromissione (IOC) relativi a tali attacchi sono stati precedentemente collegati all’operazione di ransomware Black Basta, condotta dall’ .
Rapid7 ha rilevato diversi casi relativi a questa campagna di ingegneria sociale a partire dalla fine del aprile 2024. Tutti gli attacchi hanno inizio con un gruppo di utenti all’interno dell’ambiente preso di mira che riceve una grande quantità di e-mail di spam.
Rapid7 ha confermato che il volume di spam sarebbe tale da «sovraccaricare le soluzioni di protezione della posta elettronica in uso e da arrivare nella casella di posta dell’utente».
Le e-mail
Le e-mail in sé non sono intrinsecamente dannose. Si tratta invece di e-mail di conferma dell’iscrizione alla newsletter inviate da numerose organizzazioni legittime. Poiché l'utente riceve un numero così elevato di queste e-mail di spam, è probabile che inizi a preoccuparsi o, quantomeno, a interrogarsi su tale attività.
Le telefonate
Dopo aver inviato un gran numero di e-mail agli utenti, l’autore dell’attacco contatterà ciascuno di essi tramite una telefonata, fingendo di essere un membro del loro team IT.
L'attore offrirà all'utente assistenza per i “problemi” relativi alla posta elettronica che sta riscontrando e cercherà di convincerlo a concedere l'accesso remoto al proprio dispositivo tramite strumenti di monitoraggio e gestione remota (RMM), come AnyDesk.
In altri casi, l’autore dell’attacco ha sfruttato in modo improprio Quick Assist, l’utilità di assistenza remota integrata in Windows . Se un utente non avesse ceduto al tentativo di ingegneria sociale, l’autore dell’attacco sarebbe semplicemente passato all’utente successivo preso di mira.
Accesso ottenuto
Se l'utente cade nella trappola e l'autore dell'attacco ottiene l'accesso remoto al dispositivo, inizierà eseguendo una serie di script batch. Questi script vengono presentati all’utente come aggiornamenti, in modo da risultare meno sospetti.
Il primo script verificherà la connettività al server C2 e scaricherà un archivio zip. Questo archivio contiene una copia autentica di OpenSSH, rinominata RuntimeBroker.exe, insieme alle relative dipendenze, alle chiavi RSA e ad altri file SSH.
Lo script garantirà la persistenza tramite voci della chiave "run" che rimanderanno a ulteriori script batch creati in fase di esecuzione. Ciascuno di questi script eseguirà SSH tramite PowerShell in un ciclo infinito e tenterà di stabilire una shell inversa verso il C2.
In tutti i casi rilevati da Rapid7, lo script ha sottratto le credenziali della vittima dalla riga di comando tramite PowerShell. Le credenziali vengono raccolte quando una finestra di dialogo che si presenta come un “aggiornamento” chiede all’utente di inserire le proprie credenziali per effettuare l’accesso, affinché l’aggiornamento possa procedere. In un caso, dopo aver ottenuto l’accesso iniziale, l’autore dell’attacco si è spostato lateralmente all’interno dell’ambiente tramite un’ SMBe.
Rapid7 non ha rilevato che l'autore dell'attacco abbia utilizzato un ransomware in nessuno di questi attacchi. Tuttavia, gli IOC individuati tramite analisi forense corrispondono a quelli dell’operazione del ransomware Black Basta.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I ricercatori stanno osservando sempre più spesso tecniche avanzate di ingegneria sociale come questa campagna. Ciò è dovuto principalmente al fatto che sono efficaci.
In questo attacco, l’autore della minaccia induce l’utente a credere di aver bisogno di assistenza, per poi fingersi un membro del team IT e contattare la vittima, creando di fatto un problema da “risolvere”.
Questa tecnica è leggermente diversa dall’attacco MGM, ma raggiunge lo stesso obiettivo e mette in evidenza il livello di sofisticazione che l’ingegneria sociale sta assumendo negli ultimi tempi. È probabile che questo tipo di attacchi si verifichi con maggiore frequenza, poiché gli autori delle minacce continuano ad adottare l’intelligenza artificiale generativa e i modelli di linguaggio su larga scala (LLM) per scopi quali la creazione di deepfake.
2. Gli hacker ampliano il tunneling di “ DNS ”
L’Unit 42 di Palo Alto ha recentemente pubblicato un caso di studio che illustra le applicazioni del tunneling DNS che ha osservato in ambiente reale.
Questi autori di attacchi utilizzano il tunneling DNS per monitorare quando il loro bersaglio apre le e-mail di phishing e clicca sui link dannosi; inoltre, lo utilizzano per individuare potenziali vulnerabilità.
These techniques expand beyond traditional DNS tunneling uses cases of C2 and VPN purposes.
Che cos’è il tunneling “ DNS ”?
DNS Il tunneling è una strategia comunemente utilizzata dagli autori delle minacce per sottrarre informazioni. Gli autori delle minacce ricorrono spesso al tunneling tramite il protocollo DNS per stabilire una comunicazione con il proprio C2, il che consente loro di sottrarre e introdurre dati. Anche gli operatori utilizzano comunemente il tunneling DNS a fini VPN. Indipendentemente dallo scopo, gli autori di attacchi tendono a codificare i dati utilizzando metodi propri che mescolano il traffico con quello legittimo proveniente da DNS .
La ricerca condotta da Palo Alto rivela che gli autori degli attacchi utilizzano ormai anche tunnel DNS per il tracciamento e la scansione.
DNS tunneling per il tracciamento
Gli autori delle minacce utilizzano ora il tunneling DNS per monitorare le attività delle vittime prese di mira, al fine di rilevare quando queste ultime cliccano su link o annunci pubblicitari dannosi.
A tal fine, un malintenzionato inserirebbe informazioni relative alle azioni della vittima, generate da un malware, in un sottodominio specifico di una query DNS . Questo sottodominio costituirebbe il payload del tunneling e tutte le query DNS verrebbero memorizzate su un server dei nomi controllato dall'autore dell'attacco.
- Campagna TrkCdn: Questa campagna ha lo scopo di monitorare l’interazione di una vittima con un’e-mail.
Palo Alto ha individuato 731 potenziali vittime di questa campagna e 75 indirizzi IP relativi a server dei nomi che risolvono 658 domini. Per monitorare la situazione, gli operatori possono consultare i propri registri di " DNS " e confrontare il payload con il valore hash dell'indirizzo e-mail, al fine di verificare se una determinata vittima abbia aperto un'e-mail o abbia cliccato su un link contenuto in un'e-mail.
- Campagna SpamTracker: Un altro esempio concreto è rappresentato dalla campagna denominata SpamTracker, che utilizza il tunneling DNS per tracciare la consegna dei messaggi di spam.
Questa campagna è stata collegata a 44 domini di tunneling che condividono tutti lo stesso indirizzo IP per i propri server dei nomi. I domini presentano un metodo di denominazione DGA e una codifica simili a quelli delle altre campagne. Si ritiene che SpamTracker abbia origine in Giappone e che utilizzi e-mail e link a siti web per diffondere spam e attacchi di phishing, ricorrendo a esche quali servizi di predizione del futuro, falsi aggiornamenti sulla consegna di pacchi, offerte di lavoro secondario e articoli gratuiti a vita.
DNS tunneling per la scansione
Gli autori delle minacce utilizzano inoltre il tunneling DNS per eseguire la scansione di una rete, spesso con indirizzi IP di origine falsificati, al fine di individuare resolver aperti che possano essere sfruttati. Tale attività costituisce spesso la prima fase di un attacco.
- Campagna “SecShow”: Palo Alto ha individuato una campagna in cui l’autore dell’attacco ha utilizzato il tunneling “ DNS ” per eseguire una scansione dell’infrastruttura di rete di un’organizzazione, operazione che era solitamente seguita da attacchi di riflessione.
L'autore ha cercato resolver accessibili, ha verificato i tempi di risposta dei resolver e ha sfruttato eventuali vulnerabilità individuate nei resolver. Questa campagna era rivolta principalmente ai settori dell’istruzione, della tecnologia e della pubblica amministrazione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori delle minacce ricorrono più comunemente al tunneling DNS per motivi legati al C2 e alle VPN.
Il caso di studio di Palo Alto rivela che gli autori delle minacce stanno ora estendendo l’uso di questa tecnica ad attività quali la scansione e il monitoraggio delle reti.
L'aspetto relativo al monitoraggio è interessante e indica che alcuni autori di minacce si stanno effettivamente prendendo il tempo necessario per verificare la portata e il successo delle loro campagne, anziché limitarsi a lanciare campagne in massa sperando semplicemente che vadano a buon fine.
3. Una campagna di malvertising porta a un attacco ransomware
È in corso una campagna che distribuisce programmi di installazione compromessi per WinSCP e PuTTY tramite annunci pubblicitari dannosi su .
Il malware consente all'autore dell'attacco di acquisire un punto d'appoggio con privilegi elevati e di mimetizzarsi tra le azioni amministrative legittime. In almeno un caso, l’attacco tramite malvertising ha portato al tentativo di diffondere un ransomware.
Panoramica sulla campagna di malvertising
Questa campagna ha avuto inizio all’inizio del marzo 2024 , quando Rapid7 attori malintenzionati identificati hanno distribuito programmi di installazione di WinSCP e PuTTy compromessi. Le vittime vengono indirizzate verso questi programmi di installazione dannosi dopo aver cercato i download di WinSCP o PuTTy tramite un motore di ricerca e aver cliccato su un annuncio pubblicitario dannoso. L'annuncio dannoso reindirizzerà l'utente verso un sito che appare molto simile al sito di download legittimo.
Questi siti contraffatti contengono un link per scaricare un archivio zip che contiene un trojan proveniente da un dominio secondario incorporato nella pagina. Quando l'utente scarica ed estrae questo contenuto, ha inizio l'infezione. Nell’ambito dell’attacco, viene caricata lateralmente una DLL dannosa.
Rapid7 osserva che alcune delle TTP utilizzate in questo attacco «ricordano le passate campagne di BlackCat/ALPHV». In un caso, Rapid7 ha rilevato che l’autore del reato stava tentando di sottrarre dati tramite Restic e di distribuire un ransomware. Tale tentativo è stato bloccato durante l'esecuzione.
Accesso iniziale
L'infezione ha inizio quando l'utente fa clic sull'annuncio pubblicitario dannoso e scarica un programma di installazione contraffatto di WinSCP o PuTTy. La pagina PuTTy oggetto di typosquatting presentava una “t” in più nel dominio, rendendo difficile per l’utente individuare la differenza.
La pagina di destinazione di questo sito oggetto di typosquatting presenta un link per il download insieme a due link legittimi che rimandano ad altre risorse. Quando la vittima scarica il programma di installazione, questo richiamerà una funzione incorporata e, in ultima analisi, reindirizzerà l’utente verso l’archivio ZIP dannoso più recente da scaricare.
Esecuzione
Una volta estratto l'archivio zip, all'utente viene presentato il file setup.exe, che è una copia rinominata di python.exe. Una volta eseguito, il file setup.exe procederà al sideload di una DLL dannosa, denominata python311.dll, la quale a sua volta caricherà una copia rinominata della DLL legittima, denominata python3.dll.
Una volta completato con successo il sideloading, il malware eseguirà una configurazione preliminare alla decompressione e attiverà dinamicamente ulteriori funzioni. Per la configurazione e l'esecuzione, utilizza funzionalità simili a quelle della libreria AntiHook, disponibile al pubblico.
Il malware convertirà le funzioni NTAPI (API nativa di Windows ) per «aggirare i meccanismi di rilevamento applicati alle funzioni in modalità utente più comunemente utilizzate (WINAPI) e accedere a funzionalità di livello inferiore che altrimenti non sarebbero disponibili». Una volta completata l'installazione, il malware recupera una risorsa crittografata dalla DLL. Il malware decrittografa questa risorsa in memoria, generando un archivio zip contenente tre file compressi, tra cui un programma di installazione legittimo di PuTTY, disponibile all'indirizzo MSI . Il malware, alla fine, decrittografa un file che è una DLL di tipo "beacon" di Sliver.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sappiamo già che il malvertising è molto diffuso, ma questo è uno dei pochi casi in cui un autore di minacce lo abbia utilizzato per tentare di diffondere un ransomware.
Sebbene l'attacco ransomware non abbia avuto esito positivo, esiste la possibilità che questo autore (o altri) tenti nuovamente di utilizzare questo metodo. La combinazione di malvertising e ransomware è certamente preoccupante e si discosta dalla maggior parte delle operazioni di diffusione del ransomware.
Nel caso del ransomware, gli autori delle minacce prendono spesso di mira vittime specifiche e dispongono di un certo livello di sofisticazione tecnica per ottenere l’accesso iniziale. L'utilizzo di malvertising per ottenere l'accesso iniziale consente invece alle vittime di raggiungere direttamente l'autore dell'attacco.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
