Nella rassegna di questa settimana, CTI esamina un nuovo malware denominato Cuttlefish che prende di mira i router di livello aziendale destinati a piccoli uffici e uffici domestici (SOHO). Successivamente, CTI analizza in che modo i criminali informatici e gli APT abbiano un interesse comune nei livelli di anonimizzazione di proxy e nei nodi VPN. Infine, CTI analizza il modo in cui gli autori delle minacce utilizzano i repository di Docker Hub per diffondere malware e truffe di phishing di tipo “ ” — e illustra come JFrog e Docker stiano collaborando alle iniziative di mitigazione.
1. Il malware Cuttlefish prende di mira i router SOHO
Un nuovo malware denominato “ ” (Cuttlefish) sta prendendo di mira i router SOHO di livello aziendale. Il malware modulare crea un tunnel VPN ( proxy ) per monitorare il traffico che transita attraverso tali dispositivi, al fine di sottrarre i dati di autenticazione dalle richieste HTTP GET e POST.
Black Lotus Labs, divisione di Lumen Technologies, ha individuato tale attività quando ha scoperto una serie di file dannosi che richiedevano ulteriori approfondimenti. Sebbene Black Lotus non sia ancora riuscita a individuare la via di accesso iniziale, ha confermato che l’autore dell’attacco utilizzerà uno script Bash per raccogliere informazioni da inviare al proprio C2. Questo script ha il compito di scaricare ed eseguire il malware Cuttlefish, che è stato compilato per “tutte le principali architetture utilizzate dai sistemi operativi SOHO”.
Cuttlefish installerà un filtro dei pacchetti per controllare le connessioni in uscita relative a porte, protocolli e indirizzi IP specifici. Monitorerà il traffico, intervenendo per dirottarlo solo qualora identifichi determinate attività.
Script Bash dannoso
Lo script Bash effettuerà un'analisi del dispositivo per individuare l'elenco delle directory, il contenuto della directory /etc, i processi in esecuzione, le connessioni attive e altro ancora.
Prenderà queste informazioni e le comprimerà in un file che verrà caricato su un dominio gestito da un attore. Una volta completato il caricamento, il file viene eliminato dal dispositivo.
Il carico utile principale della Cuttlefish
Al primo avvio, questo file si aprirà e si collegherà alla porta 61235 , a condizione che questa non sia già in uso da parte di un altro processo.
Lumen Technologies ha analizzato il file e ha individuato diversi parametri predefiniti, tra cui la disattivazione del vecchio agente, la selezione automatica dell’interfaccia sul router di destinazione, l’indicazione se eseguire o meno il processo come daemon e altro ancora. Il payload stabilirà una connessione sicura con il dispositivo C2 , che verrà utilizzata per scaricare e aggiornare il set di regole.
Il campione è in grado di intercettare e di appropriarsi di intervalli di indirizzi IP per sottrarre credenziali. Non appena un file di log contenente il traffico filtrato raggiunge una dimensione specificata, verrà compresso con gzip e caricato sul C2. I ricercatori hanno individuato un modulo che forniva funzionalità VPN basate su un progetto open source denominato n2n. In altri campioni, è stata utilizzata una funzionalità di " proxy " come alternativa per reindirizzare il traffico attraverso il dispositivo infetto.
Il campione è in grado di individuare i dati di autenticazione associati a servizi quali AliCloud, AWS, Digital Ocean, CloudFlare e BitBucket grazie alla creazione di un filtro Berkeley Packet Filter esteso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Cuttlefish è interessante perché, mentre esegue lo sniffing della rete, ricerca dati specifici relativi all’autenticazione cloud, sottraendo solo ciò che le interessa.
Questo interesse per le credenziali cloud rappresenta una tendenza in crescita nel panorama delle minacce, poiché un numero sempre maggiore di attacchi sta iniziando a concentrarsi sugli ambienti cloud. Lumen Technologies ritiene che gli attacchi mirati alle apparecchiature di rete, unitamente alla raccolta delle credenziali cloud, siano “finalizzati a garantire un accesso persistente a lungo termine a tali ecosistemi presi di mira”.
2. Gli Stati nazionali e i criminali informatici condividono le reti compromesse
Trend Micro, tra gli altri, sta rilevando un interesse comune per proxy l’anonimizzazione i livelli e i nodi VPN sia da parte dei criminali informatici che delle APT avanzate.
Questo interesse comune deriva dalla necessità che gli attori abbiano di nascondere la propria presenza negli ambienti e di rendere più difficile il loro individuamento. Ciò porta, in ultima analisi, alla fusione del traffico dannoso associato sia a motivazioni finanziarie che di spionaggio.
Un esempio di questo interesse comune è rappresentato da una botnet utilizzata da criminali informatici che si avvalse di dispositivi Ubiquiti EdgeRouter compromessi. Un gruppo APT denominato Pawn Storm è riuscito ad accedere ai bot all’interno di questa botnet e a utilizzarli per le proprie campagne di spionaggio. Per questo motivo, questi EdgeRouter Ubiquiti compromessi venivano utilizzati da diversi autori di attacchi per finalità che andavano dagli attacchi di forza bruta su SSH ai riflettori “ SMB ” in attacchi di tipo “ NTLMv2 hash relay”, fino all’invio di e-mail di spear phishing e altro ancora.
La suddetta botnet è attiva dal 2016 ed è stata smantellata dall’FBI nel gennaio 2024. Il suo codice è stato aggiornato e ampliato e ora è giunto alla versione 20,3. La botnet è costituita da script Bash, script Python e file binari dannosi di tipo " Linux ", quali SSHDoor. È in grado di ottenere informazioni relative al sistema ospitante, quali cartelle, utenti di sistema, potenza di calcolo, software installato, password e altro ancora.
Che cos’è SSHDoor?
Il termine "SSHDoor" si riferisce alle versioni dei server SSH dotate di backdoor. Può sottrarre credenziali legittime e “consentire l’accesso non autorizzato da parte di terzi mediante l’aggiunta di credenziali hardcoded o di una chiave SSH”.
I ricercatori ritengono che l'autore dell'attacco Pawn Storm abbia utilizzato SSHDoor per accedere ai router basati su EdgeOS. Lo smantellamento della botnet da parte dell’FBI ha avuto un impatto significativo sulle campagne di Pawn Storm. Tuttavia, non tutti gli EdgeRouter sono stati ripuliti.
Il malware Ngioweb è stato individuato su EdgeOS
Trend Micro ha individuato un’ulteriore botnet denominata “ Linux ” che eseguiva malware su alcuni degli EdgeRouter utilizzati in modo improprio da Pawn Storm.
Questa botnet denominata “ Linux ” era più sofisticata ed è stata identificata come una versione del malware Ngioweb. I bot appartenenti a questa botnet sono stati utilizzati in una botnet residenziale disponibile in commercio.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È frequente che gli autori delle minacce condividano interessi e obiettivi comuni, e non è raro che, in alcune occasioni, condividano anche le infrastrutture.
Ciò che stiamo osservando sempre più spesso è l’utilizzo degli stessi router compromessi per scopi e obiettivi finali diversi. La situazione sta iniziando a trasformarsi in una sorta di nuovo modello di business nell’ambito dell’ Community a della criminalità informatica, in cui gli autori delle minacce affittano ora i router compromessi ad altri soggetti a scopo di lucro, abbassando così la barriera all’ingresso.
3. Gli autori delle minacce utilizzano Docker Hub per diffondere malware e truffe di phishing
JFrog e Docker stanno collaborando alle attività di mitigazione e bonifica a seguito della scoperta di repository su Docker Hub utilizzati per diffondere malware e truffe di phishing.
Docker Hub ospita attualmente circa 15 milioni di repository. JFrog ha scoperto che circa il 19% di tali repository (2,8 milioni) ospita contenuti dannosi. I contenuti dannosi spaziano dallo spam alla promozione di contenuti falsi, siti contenenti malware, siti di phishing e altro ancora.
In che modo gli autori delle minacce sfruttano Docker Hub
Docker Hub è una piattaforma di " Community " che consente agli utenti di cercare immagini a supporto dei propri progetti. I responsabili della gestione dei repository possono aggiungere una descrizione e la relativa documentazione in formato HTML, che gli utenti potranno visualizzare quando consultano il repository.
JFrog ha individuato circa 4,6 milioni di repository privi di immagini e che non contengono alcun contenuto oltre alla documentazione del repository stesso. Esaminando più da vicino questi repository, JFrog ha scoperto che la maggior parte di essi era stata caricata con intenti malevoli.
Identificazione dei repository dannosi
JFrog ha raccolto tutti i repository Docker Hub privi di immagini pubblicati negli ultimi cinque anni, rilevando un picco negli anni 2021 e 2023. Hanno analizzato la situazione più da vicino durante il giorno, riscontrando un andamento legato alla settimana lavorativa, con un numero maggiore di repository creati nei giorni feriali rispetto ai fine settimana.
JFrog è riuscita a raggruppare i repository anomali in tre tipologie di campagne (ne parleremo più approfonditamente di seguito). Dei 4,6 milioni di repository privi di immagini, sono riusciti a collegarne 2,8 milioni a questi tre tipi di campagna.
Le tre campagne
Si è accertato che i repository dannosi individuati facessero parte di tre campagne di ampio respiro.
- Downloader: I repository coinvolti nella campagna del downloader contenevano «testi generati automaticamente con contenuti SEO che proponevano il download di contenuti piratati o trucchi per videogiochi». Nella prima ondata significativa di questa campagna, gli URL si presentavano come noti servizi di accorciamento URL e reindirizzavano l’utente, fungendo da proxy per una CDN dannosa. Nella seconda ondata di grande entità, i repository indicavano invece risorse legittime come reindirizzamenti verso fonti dannose.
- Phishing tramite eBook: I repository coinvolti nella campagna di phishing tramite eBook hanno di fatto trasformato Docker Hub in una libreria di eBook piratati, offrendo la possibilità di scaricare eBook gratuiti. Sebbene venga presentata come gratuita, la campagna richiederebbe all’utente di inserire i dati della propria carta di credito in un modulo, con l’obiettivo di sottrarre tali informazioni.
- Ottimizzazione SEO del sito web: Questa campagna risulta meno chiara rispetto alle due precedenti. I repository inclusi in questa campagna sono per lo più innocui, ma si ritiene comunque che siano stati caricati con intenti malevoli. JFrog ritiene che tali azioni avrebbero potuto essere utilizzate come una sorta di stress test prima di avviare campagne su più ampia scala.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questi risultati evidenziano con quanta facilità i repository open source possano essere utilizzati in attacchi alla catena di approvvigionamento e ribadiscono che attività simili si stanno probabilmente verificando in diversi repository open source.
Ciò che rende questo tipo di attacchi particolarmente redditizi è la fiducia intrinseca che talvolta viene riposta in piattaforme come Docker Hub. JFrog fornisce nel proprio rapporto indicazioni su come identificare le immagini Docker contrassegnate come “Contenuto affidabile”, il che può contribuire a ridurre (seppur non a eliminare completamente) il rischio di tali attacchi.
È opportuno sottolineare che Docker Hub ha rimosso i repository dannosi individuati, ma che bloccare sistematicamente ogni singolo caricamento dannoso è praticamente impossibile.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
