Nella rassegna di questa settimana, CTI mette in evidenza un avviso di minaccia globale riguardante l’attore legato alla Cina noto come APT40. Successivamente, CTI esamina un nuovo attore malintenzionato specializzato in spionaggio, identificato con il nome di CloudSorcerer, che sta prendendo di mira diverse organizzazioni con un malware in grado di modificare il proprio comportamento in base all’ambiente in cui viene eseguito. È inclusa inoltre una panoramica su Eldorado, un’operazione di tipo “ransomware-as-a-service” (RaaS) emersa nel mese di marzo.
1. APT40 sfrutta rapidamente le vulnerabilità della rete
Le agenzie di sicurezza informatica di Australia, Germania, Giappone, Nuova Zelanda, Corea del Sud, Regno Unito e Stati Uniti hanno pubblicato un avviso congiunto relativo al APT40, collegato alla Cina.
APT40 è presente sul mercato da molto tempo e si è rivolta a un’ampia gamma di settori e paesi. Secondo l’ultimo avviso, APT40 è in grado di sfruttare rapidamente le vulnerabilità appena individuate — spesso nel giro di poche ore o giorni dalla loro divulgazione al pubblico.
Il documento informativo descrive in dettaglio le tecniche operative osservate nelle reti australiane. Il gruppo svolge regolarmente attività di ricognizione nei confronti delle reti di interesse, alla ricerca di un’opportunità per sferrare un attacco.
TTP degne di nota
- Il gruppo APT40 tende a utilizzare dispositivi compromessi come infrastruttura operativa e come reindirizzatori dell’ultimo salto per le proprie operazioni in Australia e, probabilmente, anche altrove.
- Il gruppo prende spesso di mira dispositivi destinati a piccoli uffici o all’uso domestico (SOHO) che sono giunti al termine del ciclo di vita o per i quali non sono state installate le patch e che, pertanto, rappresentano obiettivi ideali per lo sfruttamento delle vulnerabilità.
- Dopo aver compromesso il dispositivo, l’autore dell’attacco lo utilizza per sferrare attacchi e mimetizzarsi nel traffico legittimo.
Due casi di studio
The joint advisory offers two case studies that demonstrate APT40’s capabilities.
- Caso di studio n. 1: Le agenzie di sicurezza hanno analizzato un attacco riuscito verificatosi nel 2022 , che mette in luce le tecniche operative dell’autore dell’attacco.
In questo esempio, è stato osservato che l’autore dell’attacco stava effettuando l’enumerazione degli host per creare una propria mappa della rete, distribuendo web shell come mezzo per eseguire comandi e implementando ulteriori strumenti. APT40 si è spostato lateralmente all’interno della rete, operazione facilitata dal fatto che la rete presentava una struttura piuttosto piatta.
- Caso di studio 2: L’avviso ha inoltre esaminato un ulteriore attacco, il n. APT40 , in cui un’organizzazione ha individuato un software dannoso su uno dei propri server esposti a Internet che fungeva da portale di accesso per la propria soluzione di accesso remoto.
Sono stati individuati APT40 host, sono state sfruttate applicazioni esposte a Internet, sono state utilizzate web shell, sono state sfruttate vulnerabilità del software e sono state raccolte credenziali per consentire un ulteriore movimento laterale.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il gruppo APT40 è in grado di sfruttare rapidamente le nuove vulnerabilità grazie alle sue attività di ricognizione di rete, svolte con regolarità e sistematicità.
È possibile che il gruppo disponga di un elenco di vittime da prendere di mira, anziché agire in modo più opportunistico; quest’ultimo approccio, infatti, è spesso tipico dello sfruttamento delle vulnerabilità.
APT40’s La capacità di sfruttare un POC relativo a una vulnerabilità e di utilizzarlo con successo in contesti reali in un lasso di tempo così breve evidenzia la sofisticatezza del gruppo.
2. L'APT CloudSorcerer prende di mira le organizzazioni russe
Un nuovo attore malintenzionato specializzato in attività di spionaggio, identificato come CloudSorcerer, sta prendendo di mira attivamente diverse organizzazioni con malware in grado di modificare il proprio comportamento in base all’ambiente in cui viene eseguito.
CloudSorcerer sta attualmente prendendo di mira soprattutto organizzazioni russe e fa ampio ricorso ai servizi di cloud pubblico per le proprie operazioni di comando e controllo.
Che cos’è CloudSorcerer?
Questo attore è stato scoperto per la prima volta nel film * maggio 2024*. Il gruppo si occupa di monitoraggio, raccolta e esfiltrazione di dati tramite servizi quali Microsoft Graph, Yandex Cloud e Dropbox. È noto che l’attore utilizzi questi servizi di cloud pubblico per il proprio progetto C2 e vi accederà tramite API utilizzando token di autenticazione.
Secondo SecureList, il malware deve essere eseguito manualmente dall’autore dell’attacco su un computer già infetto. La sua funzione varierà a seconda del processo in cui viene eseguita. Una volta eseguito, richiamerà una funzione per determinare in quale processo è in esecuzione. Il nome del processo restituito viene confrontato con una serie di stringhe predefinite e il malware attiverà una funzione diversa a seconda del risultato di tale confronto.
Se il nome del processo è mspaint.exe, il malware fungerà da backdoor, raccoglierà dati ed eseguirà codice. Se si riscontra che il nome del processo è msiexec.exe, il malware avvierà il proprio modulo di comunicazione C2 . Se il nome del processo contiene la stringa “browser” o se non corrisponde a una stringa specifica, il programma tenterà di iniettare dello shellcode in msiexec.exe, mspaint.exe o explorer.exe prima di terminare il processo iniziale.
Il modulo backdoor di CloudSorcerer
Il modulo backdoor raccoglie informazioni relative al computer, le memorizza e le scrive in un pipe denominato collegato al C2. Leggerà i dati in entrata ed eseguirà un'azione di conseguenza. Tra le azioni che è in grado di eseguire figurano la raccolta di informazioni aggiuntive, l’esecuzione di comandi della shell, la copia, lo spostamento, la ridenominazione e l’eliminazione di file, nonché altre operazioni.
È inoltre in grado di eseguire operazioni aggiuntive quali la pulizia della cache di DNS , la creazione di processi, l’eliminazione di chiavi di registro, l’enumerazione delle condivisioni, l’eliminazione di utenti, l’enumerazione delle connessioni RDP e altro ancora.
Il modulo C2 di CloudSorcerer
Il modulo C2 creerà un nuovo pipe Windows e configurerà una connessione al server C2 . A tal fine, fornirà argomenti a una sequenza di funzioni dell’API Windows . Il server C2 è una pagina GitHub e verrà caricato in un buffer di memoria dal malware. L'attore cerca inoltre di ottenere dati da un sito russo di hosting fotografico basato su cloud. Questo modulo interagirà con i servizi cloud per leggere i dati, ricevere i comandi, decodificarli e inviarli al modulo backdoor.
Infrastrutture
È stato osservato che l’attore utilizza gli URL di Yandex Cloud, Microsoft Graph e Dropbox, oltre alla pagina GitHub e al sito russo di hosting fotografico basato su cloud.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
CloudSorcerer sta seguendo la tendenza del cloud, avvalendosi dei servizi di cloud pubblico per attività quali il corso C2. Si tratta di un tema ricorrente nell’attuale panorama delle minacce.
La differenza sta nel fatto che il malware viene eseguito manualmente e solo dopo che il computer è già stato infettato. Non sembra che vi siano molte informazioni disponibili su come questo attore riesca ad accedere a un sistema compromesso.
Ciononostante, l’uso di malware che definisce la propria funzione e il proprio scopo principali in base al processo in cui viene eseguito rivela un certo grado di sofisticazione.
3. Eldorado rappresenta una minaccia per i sistemi Windows e Linux
Eldorado è una nuova operazione di tipo “ransomware-as-a-service” (RaaS) denominata “ ”, emersa a marzo quando ha pubblicato annunci su forum clandestini alla ricerca di pentester da inserire nel proprio team. Esiste in due varianti, denominate “ Windows ” e “ Linux ”, e dalla sua comparsa ha già causato 16 vittime in diversi settori.
La nascita di Eldorado
Un utente che si firma con lo pseudonimo “$$$” sul forum clandestino RAMP ha creato un programma di affiliazione per il ransomware Eldorado a metà delmarzo 2024.
I post di questo utente indicano che l’attore parla russo. Per generare un campione di ransomware, gli affiliati dovranno specificare il nome dell’azienda presa di mira, il nome del file e il testo delle richieste di riscatto, nonché la password di amministratore del dominio.
L’azienda di sicurezza informatica Group-IB , con sede a Singapore, è riuscita a procurarsi un programma di crittografia e ha segnalato che esso è disponibile per esxi, esxi_64, win e win_64.
Selezione delle vittime e vittimologia
Il ransomware Eldorado ha preso di mira almeno 16 aziende operanti in diversi settori. Tredici dei 16 attentati si sono verificati negli Stati Uniti, due in Italia e uno in Croazia.
Dettagli tecnici
Il programma di crittografia è stato scritto in Golang in modo da garantire la compatibilità multipiattaforma. A tutti i file crittografati da Eldorado viene aggiunto l'estensione .00000001 .
Il ransomware inserirà una richiesta di riscatto nelle cartelle “Documenti” e “Desktop”. Contiene istruzioni affinché la vittima contatti l’autore dell’attacco tramite un determinato indirizzo e-mail URL per avviare una chat in tempo reale.
La variante “ Windows ” di Eldorado
La variante Eldorado di Windows può accettare più parametri della riga di comando. Nel campione analizzato da Group-IB, è emerso che alcuni log venivano inviati a un determinato indirizzo IP tramite WebSocket. Per la crittografia, il ransomware utilizza l'algoritmo Chacha20 per i file e RSA-OAEP per la chiave generata.
Per ogni file interessato, genera una chiave di 32 byte e un nonce di 12 byte, entrambi crittografati con RSA-OAEP. Il ransomware eseguirà il comando ` PowerShell ` per sovrascrivere il programma di crittografia e, successivamente, eliminerà il file per cancellare ogni traccia delle proprie attività. Inoltre, eliminerà le copie dei volumi ombra. Il ransomware escluderà determinate estensioni di file quali .00000001, .exe, .dll, .sys, .msi, .ini, .inf e .lnk.
La variante “ Linux ” di Eldorado
Il programma di crittografia Linux supporta solo l’argomento “-path” ed è piuttosto semplice. Il programma analizzerà in modo ricorsivo i file presenti in una directory specificata. L'algoritmo di crittografia utilizzato da questa variante è lo stesso della variante " Windows ".
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Secondo Group-IB, Eldorado si distingue in modo particolare perché non si avvale di builder già trapelati in precedenza, come Babuk o LockBit.
Nuove varianti di ransomware emergono con una certa frequenza, ma molte di esse sono modellate su questi builder trapelati. È evidente che l’autore di Eldorado abbia dedicato più tempo e impegno alla creazione del ransomware, scegliendo di svilupparlo da zero.
Questo, unito al fatto che esistono già varianti del ransomware denominate “ Windows ” e “ Linux ” e che ha già mietuto diverse vittime, rende Eldorado una minaccia ancora più grave.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
