Questa settimana, CTI tratta della battaglia in corso tra Sophos e diversi attori malintenzionati cinesi. A seguire, CTI analizza una nuova campagna denominata CRON#TRAP, che ha inizio con una semplice e-mail di phishing del tipo “ ” () (si apre in una nuova scheda). Infine, CTI conclude con una panoramica su una nuova campagna di phishing che mira a sottrarre credenziali bancarie tramite Microsoft Bing.
Sophos combatte contro diversi attori malintenzionati cinesi
Sophos ha recentemente reso noti (si apre in una nuova scheda) i dettagli della propria battaglia in corso contro diversi attori malintenzionati cinesi. Da oltre cinque anni, gli hacker prendono di mira i dispositivi di rete in tutto il mondo, compresi quelli di Sophos. L’azienda ha attribuito determinati gruppi di attività ad alcuni attori, tra cui Volt Typhoon, APT31 e APT41.
L’evoluzione dei comportamenti degli autori degli attacchi
Sophos ha individuato tre principali comportamenti in evoluzione da parte degli autori degli attacchi:
- Il primo è un cambiamento di orientamento: si è passati da attacchi diffusi e rumorosi, di natura opportunistica e senza un obiettivo preciso, ad attacchi più furtivi rivolti a bersagli specifici.
- La seconda osservazione riguarda l’evoluzione delle tecniche di occultamento e persistenza, con una crescente attenzione all’utilizzo delle risorse locali, alle classi di Java con backdoor e ai trojan che operano esclusivamente in memoria.
- L'ultima osservazione riguarda i miglioramenti apportati alla sicurezza operativa (OPSEC).
Intrusione iniziale e ricognizione
Il primo attacco rilevato, avvenuto nel 2018, non era diretto contro un dispositivo di rete, bensì contro una sede di Sophos in India. L'attacco ha sfruttato un rootkit complesso, successivamente denominato “ ” Cloud Snooper, e una tecnica per penetrare nell'infrastruttura cloud tramite agenti SSM AWS configurati in modo errato.
All'epoca, l'attacco non era stato attribuito a un attore specifico. Attualmente, i ricercatori ritengono che tale attacco sia stato un tentativo da parte della Cina di raccogliere informazioni per facilitare ulteriori attacchi e creare malware destinato a colpire i dispositivi di rete.
Passaggio alla modalità invisibile
Nel 2022, gli attori hanno modificato la propria strategia per agire in modo più mirato e concentrarsi su settori specifici. Gli attacchi hanno fatto ricorso a diverse tecniche, tattiche e procedure (TTP) e hanno adottato un approccio più attivo da parte dell’autore dell’attacco, piuttosto che basarsi sull’automazione, prevedendo l’esecuzione manuale di comandi e malware. Nel corso di questi attacchi sono state impiegate tecniche di persistenza furtiva e lo sfruttamento delle vulnerabilità CVE.
Miglioramenti in materia di OPSEC
Questi soggetti sono diventati sempre più abili nel nascondere le proprie attività, impedendo l’invio di dati dai dispositivi a Sophos. A partire dal 2020, gli autori dell’attacco hanno cercato di sabotare il meccanismo di correzione automatica dei dispositivi compromessi e, in seguito, hanno iniziato a prendere di mira il sistema di telemetria dei dispositivi. Nel complesso, le procedure di sicurezza operativa sono migliorate nel corso del tempo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli attori malintenzionati sostenuti dallo Stato cinese rappresentano da tempo una minaccia, soprattutto in quanto tendono a condividere tra loro strumenti e tecniche. Sophos spiega che questi soggetti sono «dotati di risorse adeguate, pazienti, creativi e possessori di una conoscenza fuori dal comune dell’architettura interna del firmware del dispositivo».
È probabile che i dispositivi di rete periferici continuino a rappresentare obiettivi di grande valore per gli autori degli attacchi.
CRON#TRAP infetta Windows con una macchina virtuale Linux
Nell’ambito di una campagna denominata “ ” (CRON#TRAP), un autore di minacce utilizza e-mail di phishing per distribuire un ambiente personalizzato basato su un emulatore rapido (QEMU) Linux.
Secondo Securonix, un file LNK contenuto nell’e-mail di phishing avvierà l’ambiente Linux che emula QEMU. L’istanza di “ Linux ” utilizzata nell’attacco è dotata di una backdoor preconfigurata che consente di connettersi automaticamente al server C2 dell’autore dell’attacco.
Infezione iniziale
Sebbene non vi siano conferme, Securonix ritiene che l’attacco abbia avuto inizio con un’e-mail di phishing contenente un link per scaricare un file .zip. Il file .zip era incentrato sul tema dei sondaggi e di grandi dimensioni, pari a 285MB,
. Una volta che la vittima estrae il file, le vengono mostrati un collegamento e una cartella denominata “data” contenente la directory di installazione di QEMU. Il file di collegamento rimanda a PowerShell ed esegue un comando per estrarre il file scaricato ed eseguire un file batch. Questo file batch visualizza all'utente un falso errore del server durante l'esecuzione del processo QEMU per avviare l'ambiente Linux .
Documento Lure/QEMU
Un falso errore del server appare alla vittima come un'esca convincente. Sebbene il processo QEMU sia stato rinominato, è legittimo ed è firmato digitalmente con un certificato valido.
PivotBox – Ambiente di “ Linux ” dell’autore dell’attacco
Securonix è riuscito a interagire con il sistema operativo poiché era abilitato l'accesso automatico. Il banner del messaggio mostra la scritta “PivotBox” e un comando “opzioni”. Questo comando di opzioni visualizza due comandi per interagire con l’host.
Per impostazione predefinita, Linux memorizza un registro di tutti i comandi eseguiti all’interno della directory del profilo dell’utente. I ricercatori sono riusciti a rintracciare una traccia dei comandi utilizzati, il che significa che questo autore dell’attacco non ha rispettato alcune norme fondamentali di sicurezza operativa e non ha cancellato la cronologia.
Un elenco completo dei comandi è disponibile nel rapporto di Securonix. A livello generale, erano presenti comandi per l’installazione di strumenti, la manipolazione e l’esecuzione di payload, l’instaurazione della persistenza, l’esfiltrazione di dati e altro ancora.
Scalpello
Un file binario viene eseguito all’avvio dell’istanza di QEMU Linux . I ricercatori hanno stabilito che questo file binario è un «client Chisel preconfigurato, progettato per connettersi a un server C2 remoto tramite WebSockets».
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna si è rapidamente trasformata da una semplice e-mail di phishing a un ambiente emulato di Linux . Non è la prima volta che un attore malintenzionato sfrutta QEMU, ma sembra essere una delle prime volte in cui tale strumento viene utilizzato per scopi diversi dal mining di criptovalute .
Il fatto che la campagna abbia probabilmente inizio con un attacco di phishing può consentire ai responsabili della sicurezza e agli utenti finali di identificare la minaccia prima che si aggravi eccessivamente.
Gli autori delle minacce utilizzano Bing per il phishing
Malwarebytes ha recentemente individuato , una nuova campagna di phishing volta a sottrarre credenziali bancarie. La campagna prende di mira le vittime tramite malvertising, in particolare sul motore di ricerca Bing di Microsoft.
Le pagine di phishing compaiono nella prima pagina dei risultati e, in alcuni casi, come primi risultati della ricerca.
Malwarebytes ha individuato la campagna di phishing su 29 novembre. Se un utente effettua una ricerca con Bing utilizzando i termini “KeyBank login”, il primo risultato è un link dannoso che finge di essere il sito di accesso ufficiale di KeyBank. Il dominio era stato registrato circa due settimane prima.
Indicizzazione e cloaking
I crawler e gli scanner web che visitano il link dannoso vengono reindirizzati verso un sito destinato a utenti ai quali l’autore della minaccia non è interessato. Tali crawler e scanner estraggono e Index il contenuto di questa pagina, identificandola come una pagina sicura. Tuttavia, le vittime vengono immediatamente reindirizzate al vero sito dannoso in base alle caratteristiche dell’utente, tra cui l’indirizzo IP.
Il vero sito di phishing utilizza il marchio ufficiale di KeyBank e riproduce fedelmente la vera pagina di accesso. La compilazione del modulo presente su questo sito comporta l'invio immediato dei dati all'autore dell'attacco.
Come aggirare l'autenticazione a più fattori (MFA)
Molte campagne di phishing tentano di aggirare l'autenticazione a più fattori (MFA) di . In questa campagna, la pagina di phishing mostra alla vittima un messaggio in cui si segnala che la sua connessione a Internet è scadente. Questo messaggio è un diversivo volto a nascondere ciò che sta realmente accadendo.
Dietro le quinte, l’autore dell’attacco accede all’account della vittima e gli viene richiesto un codice MFA. In un’altra schermata, alla vittima viene chiesto di inserire il codice di accesso monouso, che viene immediatamente inviato all’autore dell’attacco.
Andando oltre, questa campagna di phishing richiede inoltre alla vittima di inserire o rispondere alle proprie domande di sicurezza. L'autore dell'attacco può sfruttare ulteriormente tali informazioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sebbene questa campagna sia specifica per Bing, schemi di phishing simili vengono attualmente messi in atto sulla maggior parte dei motori di ricerca.
Un aspetto sottolineato da Malwarebytes è la rapidità con cui un sito dannoso può raggiungere i primi posti nei risultati di ricerca. In questo caso, sono bastate solo due settimane perché il sito apparisse prima di quello ufficiale della banca.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per ulteriori approfondimenti, consulti le nostre recenti sintesi sulle minacce informatiche .
