Nella rassegna di questa settimana, CTI esamina uno strumento denominato “ Xeon Sender”, attualmente utilizzato per campagne di SMS , phishing e spam. Successivamente, CTI esamina l’infrastruttura più recente di un gruppo di attori nordcoreani sostenuti dallo Stato, identificati con il codice UAT-5394. Infine, CTI sta indagando su una campagna di estorsione su larga scala che sfrutta file di variabili d’ambiente (.env) accessibili al pubblico contenenti credenziali associate ad applicazioni cloud e di social media.
1. Xeon Sender punta alle API cloud
Recentemente è stato rilevato un autore di attacchi che utilizzava uno strumento di attacco basato sul cloud denominato Xeon , con mittente , nell’ambito di campagne di phishing tramite SMS e di spam.
Xeon Sender — noto anche come XeonV5 e SVG Sender — consente agli autori delle minacce di distribuire messaggi tramite diversi fornitori di servizi SaaS utilizzando credenziali valide. Lo strumento si avvale di diversi fornitori di servizi, tra cui Amazon, Simple Notification Service (SNS), Nexmo, Plivo, Proovl, Send99, Telesign, Telnyx, TextBelt e Twilio.
Xeon Sender esiste almeno dal 2022 ed è attualmente disponibile su Telegram. Un’altra versione è ospitata su un server web dotato di un’interfaccia grafica, che consente anche agli utenti meno esperti di accedere allo strumento e utilizzarlo.
Come funziona il servizio “ Xeon Sender”
Secondo Sentinel One, Xeon Sender dispone di una semplice interfaccia a riga di comando (CLI) che consente all’autore dell’attacco di comunicare con il servizio tramite API ed eseguire attacchi con il minimo sforzo. Affinché l'attore possa utilizzare lo strumento, deve disporre delle chiavi API appropriate per il servizio in questione.
Ciascun fornitore richiede all’operatore o all’attore di fornire diversi valori, tra cui la chiave API, la chiave segreta, l’ AWS e la regione per AWS SNS, l’ID cliente per Telesign, l’ID mittente, il contenuto del messaggio e un elenco dei numeri di telefono di destinazione memorizzati in un file di testo. Tali valori vengono utilizzati in una richiesta API indirizzata al servizio di destinazione. Lo script esegue un ciclo sul file di testo contenente i numeri di telefono fino a quando non viene elaborato ogni singolo numero, con una pausa di 50 millisecondi tra una iterazione e l’altra del ciclo.
Utilità correlate
Xeon Oltre ai diversi metodi di invio degli SMS, Sender offre altre funzionalità correlate. Ad esempio, gli strumenti di verifica degli account verificano la validità delle credenziali per gli account Nexmo e Twilio. Inoltre, dispone di un generatore di numeri di telefono che utilizza Python per generare un numero di una determinata lunghezza. Dispone inoltre di uno strumento di verifica dei numeri di telefono che analizza un numero di telefono tramite l’API di verifica dei numeri di APILayer[.]com per confermare che il numero sia valido.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo strumento si avvale di servizi legittimi per eseguire operazioni in massa, il che ne rende più difficile l'individuazione.
L'uso di servizi legittimi sta registrando un'impennata in questo momento, con varie varianti di ransomware e malware che sfruttano tali servizi per eludere il rilevamento.
2. Cisco Talos svela l'infrastruttura UAT-5394
Cisco Talos sta fornendo dettagli sull’infrastruttura che si ritiene sia utilizzata da un gruppo di attori nordcoreani sponsorizzati dallo Stato, identificato come UAT-5394.
L'infrastruttura è collegata a una campagna che utilizza una variante del malware XenoRAT denominata MoonPeak. L'autore sta utilizzando macchine virtuali per testare il malware prima della sua diffusione e recentemente ha smesso di avvalersi di servizi cloud legittimi.
Infrastruttura UAT-5394
Nel corso della mappatura dell’infrastruttura della campagna, i ricercatori hanno individuato alcuni nuovi server. L'infrastruttura comprende l'accesso remoto e C2 server, siti per l'hosting dei payload e macchine virtuali per il collaudo del malware prima della sua distribuzione.
Allontanarsi dai servizi cloud
Secondo Cisco Talos, l’autore dell’attacco non utilizza più fornitori legittimi di servizi di archiviazione cloud per ospitare i payload. Nel mese di giugno, l’attore ha iniziato a utilizzare i propri server e sistemi. Nel proprio rapporto, Cisco Talos analizza molti dei server utilizzati nell’attacco, per coloro che fossero interessati a maggiori dettagli tecnici.
Macchine virtuali per i test
Parte dell’infrastruttura più recente di questo attore comprende macchine virtuali ospitate su indirizzi IP pubblici. È stato osservato che questi si connettono a vari server MoonPeak C2 tramite porte configurate all’interno dello stesso malware.
Cisco Talos ha accertato che sono state utilizzate due macchine virtuali per testare le infezioni da MoonPeak sulle porte 9966, 9936, 8936 e 9999. È stata utilizzata anche una terza macchina per testare le infezioni, ma essa aveva una duplice funzione ed è stata impiegata anche per connettersi tramite RDP a C2 server. Si tratta di una tecnica poco comune.
Evoluzione del malware MoonPeak
Sulla base dell’analisi dei recenti campioni di MoonPeak, Cisco Talos ha stabilito che il malware si è evoluto nel corso del tempo.
Tale evoluzione è in linea con la nuova infrastruttura e con i test effettuati tramite macchine virtuali. Ogni nuovo campione del malware presenta un livello di offuscamento leggermente superiore e piccole variazioni nelle comunicazioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il punto fondamentale è che l’autore dell’attacco è passato dall’ospitare i payload su servizi di archiviazione cloud legittimi all’utilizzo di server e sistemi da lui controllati. Questo cambiamento è l’esatto contrario di quanto i ricercatori nel campo della sicurezza abbiano osservato nel panorama delle minacce. Sembra che un numero sempre maggiore di soggetti stia sfruttando servizi cloud legittimi nelle proprie campagne per mimetizzarsi ed eludere i controlli.
A questo punto, non è chiaro il motivo per cui l’attore stia tornando ai metodi tradizionali di hosting. Sarà interessante vedere se questo cambiamento si rivelerà positivo per questo attore o se cambierà nuovamente direzione.
3. Gli autori degli attacchi sfruttano i file .env pubblici per ricattare le vittime
Palo Alto ha scoperto una campagna di estorsione su larga scala denominata “ ” che sfrutta i file .env accessibili pubblicamente contenenti credenziali associate ad applicazioni cloud e di social media.
La campagna installa la propria infrastruttura di attacco di tipo “ ” ( ) all’interno degli ambienti AWS delle organizzazioni compromesse e la utilizza come base operativa per eseguire la scansione degli obiettivi alla ricerca di dati di interesse.
Accesso iniziale e analisi iniziale
Questa campagna è stata il risultato dell’esposizione delle chiavi di accesso IAM di AWS , ottenute da file .env accessibili pubblicamente. Gli autori dell'attacco hanno ottenuto tali chiavi effettuando una ricerca dei file .env ospitati su applicazioni web non sicure e le hanno utilizzate per accedere all'ambiente cloud di hosting.
Ai fini dell’analisi esplorativa, l’autore dell’attacco ha effettuato diverse chiamate API per raccogliere quante più informazioni possibili sull’ambiente e individuare i servizi da sfruttare, tra cui IAM, Security Token Service (STS), S3 e Simple Email Service (SES).
Elevazione dei privilegi
L'attore responsabile di questa campagna si è reso conto che la credenziale IAM originale, utilizzata per ottenere l'accesso iniziale all'ambiente, non disponeva di diritti di amministratore su tutte le risorse cloud, ma possedeva le autorizzazioni necessarie per creare nuovi ruoli IAM e associare politiche IAM a tali ruoli. In questo modo, l’autore dell’attacco è riuscito a ottenere privilegi più elevati all’interno degli ambienti cloud.
Esecuzione
Dopo aver ampliato i propri privilegi, l’autore dell’attacco ha tentato di creare due diversi stack infrastrutturali: uno utilizzando AWS e l’altro utilizzando AWS Lambda.
L'utente non è riuscito a creare un gruppo di sicurezza, una coppia di chiavi e un'istanza EC2 . Tuttavia, sono riusciti a creare diverse funzioni lambda utilizzando il ruolo IAM che avevano creato in precedenza.
Impatto
L'autore dell'attacco ha creato e utilizzato una funzione Lambda per eseguire una scansione di un elenco di domini alla ricerca di file .env configurati in modo errato e/o esposti. Alcuni dei file .env contenevano più variabili che fornivano all’attore informazioni relative a più servizi all’interno di un ambiente.
Palo Alto classifica le credenziali individuate all’interno di questi file in base al tipo di applicazione e ha riscontrato che le credenziali relative alle applicazioni sono quelle più comuni. Hanno individuato oltre 90.000 combinazioni uniche di variabili trapelate che contenevano chiavi di accesso o credenziali IAM.
Esfiltrazione
Oltre a sfruttare i file .env, è stato osservato che l’autore dell’attacco ha anche sottratto dati da S3 bucket con l’ausilio dello strumento S3 per browser.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna ci ricorda che gli autori delle minacce nutrono un crescente interesse per gli ambienti cloud. Ciò che è interessante è che questa campagna non sfrutta una vulnerabilità per ottenere l’accesso iniziale, ma si limita semplicemente a individuare l’esposizione accidentale di file .env su applicazioni web non protette. Alla luce di ciò, i difensori hanno la possibilità di proteggersi da questo attacco.
Nel proprio post, Palo Alto fornisce alcune raccomandazioni per ridurre il rischio di questo attacco.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
