Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium ha esaminato Whisper Leak, un nuovo attacco a canale laterale mirato a modelli di linguaggio remoto. Successivamente ,stiamo indagando su un pacchetto npm dannoso denominato “@acitons/artifact”, che rappresenta un rischio per le azioni GitHub . Infine ,abbiamo scomposto una sofisticata campagna di phishing che utilizza il nuovo strumento Quantum Route Redirect per colpire gli utenti di Microsoft 365 .
Whisper Leak si rivolge a modelli linguistici remoti
Microsoft sta condividendo i dettagli di Whisper Leak, che ora sfrutta le dimensioni dei pacchetti di rete e i modelli di temporizzazione per scoprire gli argomenti di conversazione degli utenti, anche quando il traffico è crittografato con TLS.
Microsoft Il rapporto di evidenzia la crescente necessità di riservatezza dei modelli linguistici, soprattutto perché i sistemi di intelligenza artificiale vengono sempre più utilizzati per elaborare informazioni sensibili. Per questo motivo, è sempre più importante che le conversazioni siano sicure e che i modelli dispongano di solide protezioni per la privacy.
Microsoft esperimento di Whisper Leak di
Microsoft Iniziato con la formazione di un classificatore binario per distinguere tra traffico generalizzato e un argomento specifico di destinazione.
In questo esperimento, l'argomento di riferimento era la legalità del riciclaggio di denaro. I ricercatori hanno utilizzato un modello linguistico per creare 100 domande simili sull’argomento del riciclaggio di denaro, con 80 per la formazione e 20 per la generalizzazione dei test. Microsoft Inoltre, sono state campionate in modo casuale più di 11.000 domande non correlate per i prompt di rumore.
Dopo aver raccolto i dati, Microsoft ha analizzato tre modelli di apprendimento in tre diverse modalità. Hanno valutato le prestazioni di ciascuno utilizzando la metrica Area Under the Precision-Recall Curve (AUPRC) per misurare il successo di un attacco informatico per set di dati squilibrati.
La maggior parte dei modelli ha raggiunto punteggi superiori al 98%. Microsoft osserva che le impronte digitali uniche prodotte dalle conversazioni su argomenti specifici erano abbastanza distinte da consentire al suo intercettatore basato sull'intelligenza artificiale di Detect durante i test controllati.
Whisper Leak: una minaccia crescente
Microsoft Si è simulato uno scenario di sorveglianza realistico in cui un aggressore ha monitorato 10.000 conversazioni casuali, con solo una contenente l'argomento sensibile al bersaglio. In questo test, l’aggressore è stato in grado di identificare con precisione la conversazione che discuteva di quell’argomento.
Come per molte minacce appena segnalate, Microsoft ritiene che questa minaccia abbia il potenziale per peggiorare con il passare del tempo. La loro valutazione è che questo è un livello di rischio di base che migliorerà man mano che gli attori delle minacce raccoglieranno più dati di formazione e miglioreranno i loro attacchi con queste informazioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Una crittografia forte come TLS non è in grado di proteggere completamente la privacy quando i segnali dei canali laterali rimangono esposti. Anche se questo attacco non sembra rivelare l’esatto testo / chat, può classificare argomenti sensibili che possono ancora pubblicare problemi di riservatezza, specialmente per le organizzazioni in settori che hanno più regole sulla privacy in atto. Questo è un promemoria che la sicurezza deve considerare la perdita di metadati, non solo la crittografia dei contenuti.
Microsoft Tuttavia, Microsoft raccomanda comunque agli utenti di evitare argomenti sensibili su reti non attendibili e di prendere in considerazione VPN o modelli non di streaming.
@acitons/artifact si rivolge agli utenti di GitHub Actions
I ricercatori di Veracode hanno scoperto un pacchetto npm dannoso chiamato “@acitons/artifact”, che si rivolge agli utenti di GitHub Actions. Il pacchetto, che rappresenta il legittimo pacchetto “@acitons/artifact”, mira a esfiltrare i dati crittografati dagli ambienti CI/CD attraverso uno script post-installazione.
Veracode ritiene che lo scopo del pacchetto dannoso sia quello di “avere questo script eseguito durante una build di un repository di proprietà di GitHub, esfiltrare i token disponibili nell’ambiente di build e quindi utilizzare quei token per pubblicare nuovi artefatti dannosi come GitHub”.
Durante la loro indagine, i ricercatori hanno scoperto sei versioni che sono venute con un hook post-installazione per eseguire malware, che le note di Veracode non sono state rilevate dai prodotti anti-virus. L'attore ha apparentemente rimosso le versioni dannose.
Il pacchetto
I ricercatori di Veracode hanno esplorato la versione 4,0,13 del pacchetto dannoso, che sembra essere per GitHub Actions Toolkit ma contiene un chiaro typosquat nel nome del pacchetto.
Veracode ha analizzato il binario in VirusTotal e ha scoperto che non era contrassegnato come dannoso al momento del loro rapporto. Tuttavia, una revisione manuale del file ha rivelato diversi aspetti apparentemente dannosi tra cui un meccanismo per impedire l'esecuzione dopo una data prestabilita, uno script di shell offuscato e il targeting di solo repository di proprietà di GitHub stesso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli ecosistemi ampiamente affidabili come npm sono ora sfruttati dagli attori delle minacce, rendendo l'igiene della dipendenza critica.
Questo attore si è concentrato specificamente su GitHub Actions, mirando a un punto critico del ciclo di vita del software. Quando si verificano questi tipi di attacchi, gli attori possono rubare segreti, iniettare codice dannoso nelle build e trasformarsi in ambienti di produzione, trasformando un errore a singola dipendenza in una violazione su vasta scala.
Questo incidente sottolinea i crescenti rischi della supply chain del software e la necessità di severi controlli di sicurezza di verifica e runtime delle dipendenze.
Quantum Route Redirect semplifica il phishing
KnowBe4 ha recentemente osservato una sofisticata campagna di phishing che utilizza Quantum Route Redirect, un kit di phishing che automatizza gli attacchi complessi e consente ai criminali informatici di bypassare gli strumenti di sicurezza e indirizzare gli Microsoft di Microsoft 365 a livello globale.
Come spiega KnowBe4 , la sua capacità di eludere il rilevamento e armare i collegamenti dopo la consegna pone un rischio significativo, richiedendo una combinazione di difese avanzate e consapevolezza dell'utente.
KnowBe4 hanno osservato vittime compromesse di questa campagna in 90 paesi. Delle vittime, il 76% si trovava negli Stati Uniti.
Che cos'è il Quantum Route Redirect?
KnowBe4 descrive Quantum Route Redirect come una “piattaforma di automazione avanzata che semplifica l’intero processo della campagna di phishing, dal reindirizzamento del traffico al monitoraggio delle vittime”. Ad oggi hanno identificato circa 1.000 domini che vengono ospitati con questa piattaforma.
Lo strumento stesso è semplice e offre ai suoi utenti una configurazione preconfigurata per rendere più facile condurre campagne. Può distinguere tra diversi visitatori, separando diverse azioni per gli strumenti di sicurezza e le vere vittime previste e indirizzandole di conseguenza. Per differenziarsi, utilizza le impronte digitali del browser e il rilevamento VPN e proxy .
Attacchi di phishing Quantum Route Redirect
KnowBe4 attacchi di phishing sono stati osservati per la prima volta all’inizio di agosto sfruttando Quantum Route Redirect. Secondo KnowBe4, ogni campagna inizia con un’e-mail di phishing che spazia tra temi e tattiche. Indipendentemente dal tema, in ogni caso le vittime vengono portate a una pagina di raccolta delle credenziali gestita da Quantum Route Redirect.
Come altri kit di phishing, Quantum Route Redirect offre ai suoi utenti un pannello di configurazione per gestire le loro campagne e fornisce varie funzionalità utili tra cui le statistiche dei visitatori.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo è un altro kit di phishing che riduce la barriera per gli aggressori e apre le porte a campagne più frequenti e sofisticate rivolte agli ambienti Microsoft 365 .
La capacità del kit di armare i collegamenti dopo la consegna è particolarmente preoccupante perché mina molti livelli di sicurezza tradizionali come la scansione degli URL e il sandboxing, rivelando la criticità del rilevamento in tempo reale e della resilienza degli utenti.
Il rapporto KnowBe4’s include alcune azioni raccomandate utili per proteggersi dal reindirizzamento Quantum Route.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium per iniziare una conversazione.
Per ulteriori letture, rimani aggiornato sulle nostre recenti raccolte di informazioni sulle minacce informatiche.
