Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium esamina Whisper Leak, un nuovo attacco a canale laterale che prende di mira i modelli linguistici remoti. Successivamente, all’indirizzo analizziamo un pacchetto npm dannoso denominato “@acitons/artifact”, che rappresenta un rischio per GitHub Actions. Infine, all’indirizzo analizziamo una sofisticata campagna di phishing che utilizza il nuovo strumento Quantum Route Redirect per prendere di mira Microsoft gli utenti di Windows 365 .
Whisper Leak prende di mira i modelli linguistici remoti
Microsoft sta fornendo ulteriori dettagli su “Whisper Leak”, una vulnerabilità che attualmente sfrutta le dimensioni dei pacchetti di rete e i modelli temporali per individuare gli argomenti delle conversazioni degli utenti, anche quando il traffico è crittografato con TLS.
Il rapporto di Microsoft sottolinea la crescente necessità di garantire la riservatezza dei modelli linguistici, soprattutto alla luce del crescente impiego dei sistemi di intelligenza artificiale nell’elaborazione di informazioni sensibili. Per questo motivo, è sempre più importante che le conversazioni siano sicure e che i modelli dispongano di solide misure di tutela della privacy.
L’esperimento “Whisper Leak” di Microsoft
Microsoft Si è iniziato addestrando un classificatore binario per distinguere tra il traffico generico e un argomento specifico di riferimento.
In questo esperimento, l’argomento in esame era la legalità del riciclaggio di denaro. I ricercatori hanno utilizzato un modello linguistico per generare 100 domande simili sul tema del riciclaggio di denaro, di cui 80 destinate all’addestramento e 20 alla verifica della generalizzazione. Microsoft ha inoltre selezionato in modo casuale oltre 11.000 domande non correlate da utilizzare come prompt di rumore.
Dopo aver raccolto i dati, Microsoft ha analizzato tre modelli di apprendimento in tre diverse modalità. Hanno valutato le prestazioni di ciascuno utilizzando la metrica dell’area sotto la curva di precisione-richiamo (AUPRC) per misurare il successo di un attacco informatico in presenza di set di dati sbilanciati.
La maggior parte dei modelli ha ottenuto punteggi superiori al 98%. Microsoft osserva che le impronte digitali uniche generate dalle conversazioni su argomenti specifici erano sufficientemente distintive da consentire al proprio sistema di ascolto basato sull’intelligenza artificiale di Detect durante i test controllati.
Whisper Leak: una minaccia in crescita
Microsoft ha simulato uno scenario di sorveglianza realistico in cui un aggressore ha monitorato 10.000 conversazioni casuali, di cui solo una conteneva l'argomento sensibile oggetto dell'indagine. In questo test, l’autore dell’attacco è riuscito a identificare con precisione la conversazione in cui si discuteva di quell’argomento.
Come nel caso di molte minacce segnalate di recente, Microsoft ritiene che questa minaccia possa aggravarsi con il passare del tempo. A loro avviso, si tratta di un livello di rischio di riferimento destinato a migliorare man mano che gli autori delle minacce raccoglieranno ulteriori dati di addestramento e perfezioneranno i propri attacchi grazie a tali informazioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Una crittografia avanzata come quella di TLS non è in grado di proteggere pienamente la privacy quando i segnali dei canali laterali rimangono esposti. Sebbene questo attacco non sembri rivelare il testo o la conversazione esatti, è in grado di classificare argomenti sensibili che possono comunque comportare problemi di riservatezza, in particolare per le organizzazioni operanti in settori in cui vigono norme più rigorose in materia di privacy. Con la presente desideriamo ricordarvi che, in materia di sicurezza, occorre tenere conto della fuga di metadati, non solo della crittografia dei contenuti.
Microsoft e altri fornitori hanno adottato misure di mitigazione, ma Microsoft raccomanda comunque agli utenti di evitare argomenti sensibili su reti non affidabili e di prendere in considerazione l’uso di VPN o di modelli che non prevedano lo streaming.
@acitons/artifact è destinato agli utenti di Actions GitHub
I ricercatori di Veracode hanno individuato un pacchetto npm dannoso denominato “@acitons/artifact”, che prende di mira gli utenti di GitHub Actions. Il pacchetto, che sfrutta il nome simile a quello legittimo “@acitons/artifact”, mira a sottrarre dati crittografati dagli ambienti CI/CD tramite uno script post-installazione.
Veracode ritiene che lo scopo del pacchetto dannoso sia quello di «far eseguire questo script durante la compilazione di un repository di proprietà di GitHub, sottrarre i token disponibili nell’ambiente di compilazione e quindi utilizzare tali token per pubblicare nuovi artefatti dannosi come GitHub».
Nel corso della loro indagine, i ricercatori hanno individuato sei versioni dotate di un meccanismo di esecuzione post-installazione finalizzato all’esecuzione di malware, che, come sottolinea Veracode, non è stato rilevato dai prodotti antivirus. A quanto pare, l'attore ha rimosso le versioni dannose.
Il pacchetto
I ricercatori di Veracode hanno analizzato la versione 4,0,13 del pacchetto dannoso, che sembra essere destinato all’ GitHub Actions Toolkit, ma che presenta un evidente caso di typosquatting nel nome del pacchetto.
Veracode ha analizzato il file binario su VirusTotal e ha scoperto che, al momento della stesura del proprio rapporto, esso non era stato segnalato come dannoso. Tuttavia, un’analisi manuale del file ha rivelato diversi aspetti apparentemente dannosi, tra cui un meccanismo volto a impedire l’esecuzione dopo una data prestabilita, uno script shell offuscato e il fatto che il file prendesse di mira esclusivamente i repository di proprietà della stessa GitHub .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Ecosistemi ampiamente considerati affidabili, come npm, vengono ora sfruttati da soggetti malintenzionati, rendendo fondamentale la gestione delle dipendenze.
Questo attore si è concentrato in particolare sulle azioni di tipo “ GitHub ”, prendendo di mira un punto critico del ciclo di vita del software. Quando si verificano attacchi di questo tipo, gli autori possono sottrarre informazioni riservate, iniettare codice dannoso nelle build e accedere agli ambienti di produzione, trasformando un errore legato a una singola dipendenza in una violazione su vasta scala.
Questo episodio evidenzia i crescenti rischi legati alla catena di approvvigionamento del software e la necessità di un rigoroso controllo delle dipendenze e di misure di sicurezza in fase di esecuzione.
Quantum Route Redirect semplifica il phishing
KnowBe4 ha recentemente individuato una sofisticata campagna di phishing che utilizza Quantum Route Redirect, un kit di phishing in grado di automatizzare attacchi complessi e di consentire ai criminali informatici di aggirare gli strumenti di sicurezza e prendere di mira Microsoft 365 gli utenti in tutto il mondo.
Come spiega KnowBe4 , la sua capacità di eludere il rilevamento e di trasformare i link in armi dopo la consegna rappresenta un rischio significativo, che richiede una combinazione di difese avanzate e sensibilizzazione degli utenti.
KnowBe4 ha individuato vittime di questa campagna in 90 paesi. Tra le vittime, il 76% si trovava negli Stati Uniti.
Che cos’è il reindirizzamento del percorso quantistico?
Il documento KnowBe4 descrive Quantum Route Redirect come una «piattaforma di automazione avanzata che ottimizza l’intero processo delle campagne di phishing, dal reindirizzamento del traffico al tracciamento delle vittime». Ad oggi sono stati individuati circa 1.000 domini ospitati su questa piattaforma.
Lo strumento in sé è semplice e offre agli utenti una configurazione predefinita che facilita la realizzazione delle campagne. È in grado di distinguere tra i diversi visitatori, separando le diverse azioni relative agli strumenti di sicurezza da quelle delle vere vittime designate e indirizzandole di conseguenza. Per effettuare la differenziazione, utilizza il browser fingerprinting, nonché il rilevamento delle VPN e dell’ proxy .
Attacchi di phishing di tipo “Quantum Route Redirect”
All'inizio di agosto, KnowBe4 ha rilevato per la prima volta attacchi di phishing che sfruttavano la tecnica del “Quantum Route Redirect”. Secondo KnowBe4, ogni campagna ha inizio con un’e-mail di phishing del tipo “ ” ( ), che presenta una varietà di temi e tattiche. Indipendentemente dal tema, in ogni caso le vittime vengono reindirizzate verso una pagina di raccolta delle credenziali gestita da Quantum Route Redirect.
Come altri kit di phishing, Quantum Route Redirect mette a disposizione dei propri utenti un pannello di configurazione per la gestione delle campagne e offre diverse funzionalità utili, tra cui le statistiche sui visitatori.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Si tratta dell’ennesimo kit di phishing che abbassa la soglia di accesso per gli autori degli attacchi e apre la strada a campagne sempre più frequenti e sofisticate rivolte agli ambienti di Microsoft 365 .
La capacità del kit di trasformare i link in strumenti di attacco dopo la loro consegna è particolarmente preoccupante poiché compromette molti livelli di sicurezza tradizionali, quali la scansione di tipo “ URL ” e il sandboxing, mettendo in luce l’importanza fondamentale del rilevamento in tempo reale e della resilienza degli utenti.
Il rapporto KnowBe4’s include alcune utili misure raccomandate dall’ , disponibili all’indirizzo , volte a proteggere dal “Quantum Route Redirect”.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
