Nel rapporto di intelligence di questa settimana, i vertici dell’FBI e della MI5 mettono in guardia dalla grave minaccia rappresentata dal tentativo della Cina di assumere un ruolo dominante nel cyberspazio. Spieghiamo inoltre in che modo un nuovo strumento di red teaming venga attualmente utilizzato in modo improprio dagli autori delle minacce e mettiamo in evidenza un attacco emergente di tipo “supply chain” che sfrutta pacchetti NPM dannosi per sottrarre dati sensibili da applicazioni e siti web.
Continuate a leggere per scoprire gli ultimi aggiornamenti su queste vicende in evoluzione.
1. L'FBI e i vertici della MI5 mettono in guardia da una grave minaccia proveniente dalla Cina
Nel corso di una conferenza stampa congiunta senza precedenti organizzata dall’ (si apre in una nuova scheda) , tenutasi davanti a un pubblico composto da esponenti del mondo accademico e da leader del mondo imprenditoriale su 6 luglio, il direttore del servizio di intelligence britannico MI5, il generale Ken McCallum, e il direttore dell’FBI Chris Wray hanno lanciato un forte monito in merito alla crescente minaccia rappresentata dal Partito Comunista Cinese (PCC) per gli interessi nazionali sia del Regno Unito che degli Stati Uniti.
Secondo McCallum, il Partito Comunista Cinese e il governo da esso controllato sono impegnati da anni in tentativi volti a sottrarre competenze, tecnologie, ricerche all’avanguardia a livello mondiale e qualsiasi altra proprietà intellettuale (PI) occidentale in grado di fornire un vantaggio commerciale e di rafforzare la posizione della Cina sulla scena mondiale.
Panoramica sulle minacce: analisi delle tattiche della campagna cinese
Durante la riunione informativa è stato illustrato in dettaglio come le campagne di furto di proprietà intellettuale condotte dalla Cina assumano molteplici forme. Tra gli esempi più comuni figurano le spie cinesi che operano sotto copertura sul territorio occidentale, le fusioni e acquisizioni (M&A) e i trasferimenti di tecnologia che consentono alle aziende cinesi di accedere alla tecnologia occidentale, nonché il coinvolgimento di contatti locali che spesso non sono consapevoli di ciò che stanno facendo per promuovere gli interessi dello Stato cinese.
Inoltre, per quanto riguarda le operazioni informatiche offensive della Cina, una vasta gamma di obiettivi governativi e commerciali occidentali è stata costantemente presa di mira da gruppi di minacce persistenti avanzate (APT) sostenuti dalla Cina e affiliati al Ministero della Sicurezza di Stato cinese (MSS) e all’Esercito Popolare di Liberazione (PLA). Queste unità di hacking professionale (si apre in una nuova scheda) contribuiscono all’attuazione della strategia statale globale della Cina (si apre in una nuova scheda) volta a diventare l’unica superpotenza mondiale con ogni mezzo necessario; ciò, se tutto procederà come previsto, porterà inoltre la Cina ad affermarsi come la superpotenza informatica dominante a livello mondiale (si apre in una nuova scheda).
Forse ancora più preoccupante — a seconda di quanto si tenga al Primo Emendamento — è il fatto che Wray abbia sostenuto, durante il discorso congiunto, che Pechino non stia solo cercando di sottrarre segreti commerciali e ricerche accademiche all’Occidente, ma miri anche a influenzarne la politica e a condurre attività di sorveglianza tecnica nei confronti degli attivisti statunitensi che si esprimono contro il governo cinese.
Una settimana difficile per il PCC
Il comunicato congiunto fa seguito a quello che potrebbe benissimo essere il più grande attacco informatico della storia, avvenuto quando un autore di minacce informatiche avrebbe sottratto un’enorme quantità di dati personali da un database della polizia di Shanghai (si apre in una nuova scheda). La scorsa settimana, un hacker che utilizza i nomi utente , ChinaDan, (si apre in una nuova scheda),e ha comunicato ai membri del sito di hacker Breach Forums di aver acquisito 23 terabyte di dati relativi a 1 miliardo di cittadini cinesi.
BleepingComputer (si apre in una nuova scheda) ha pubblicato un’immagine del post sul forum in cui si illustrano i contenuti dei dati raccolti. Il presunto autore dell'attacco ha affermato che i database contengono informazioni su un miliardo di cittadini cinesi residenti, oltre a diversi miliardi di fascicoli di polizia. Tali dati comprendono informazioni personali quali nomi, indirizzi, luoghi di nascita, numeri di identificazione nazionale, numeri di cellulare e tutti i dettagli relativi a reati o casi associati a cittadini cinesi che sono stati oggetto di interventi da parte delle forze dell’ordine. Secondo quanto riferito, i censori del governo cinese starebbero facendo gli straordinari per mettere a tacere la notizia inquietante secondo cui i dati che hanno costantemente sottratto ai propri cittadini nel corso degli anni sarebbero apparentemente disponibili sul mercato e verrebbero venduti per la somma relativamente irrisoria di circa 200.000 dollari USA.
Secondo un articolo di Gizmodo che tratta dei tentativi della Cina di mettere a tacere ogni discussione sulla fuga di dati, i tentativi di Reuters di rintracciare le persone incluse nel database hanno avuto esito positivo: gli intervistati hanno confermato che i dati contenuti nelle informazioni sottratte potevano provenire solo dalla polizia e sono principalmente indicativi degli sforzi delle forze dell’ordine a sostegno del più ampio sistema di sorveglianza del Paese. (si apre in una nuova scheda)
Un hacker sostiene di aver sottratto dati relativi a 1 miliardo di cittadini cinesi - @serghei bleepingcomputer.com/news/security/…
Il governo cinese non ha fatto alcun riferimento ufficiale all’attacco informatico né ai giornalisti, né in pubblico, né online. È ironico che la notizia dell’attacco informatico e dei successivi tentativi di Pechino di censurarne il dibattito pubblico giunga proprio in un momento in cui il governo cinese si è pubblicamente impegnato a migliorare la tutela della privacy dei dati degli utenti online, invitando i propri giganti tecnologici ad adottare misure volte a garantire una conservazione dei dati più sicura.
Punti chiave
Al termine del discorso congiunto tenuto dal MI5 e dall’FBI, Wray ha esortato i dirigenti aziendali e gli altri interessati a collaborare con i servizi di intelligence qualora si verificassero episodi di questo tipo.
«I nostri collaboratori si affretteranno a fornirvi i dettagli tecnici che vi aiuteranno a ridurre gli effetti di un attacco. «Insieme, possiamo anche condurre operazioni congiunte e coordinate volte a contrastare gli attacchi informatici del governo cinese», afferma Wray, aggiungendo: «Possiamo inoltre aiutarvi a accertare se il problema informatico che avete riscontrato rientri effettivamente in un’operazione di intelligence più ampia, se gli hacker che individuate possano collaborare con soggetti interni all’azienda o agire di concerto con altre minacce aziendali che non riuscite a individuare».
McCallum ha inoltre sostenuto l’importanza della collaborazione, affermando che il modo migliore per contrastare l’approccio “a livello di Stato” adottato dalla Cina in materia di spionaggio e influenza occulta consiste nel «costruire partnership basate sulla fiducia – all’interno dei nostri sistemi nazionali e, come simboleggiato oggi, a livello internazionale».
In una dichiarazione che riguarda in egual misura gli interessi sia degli Stati Uniti che del Regno Unito, ha esortato le organizzazioni locali a rivolgersi in modo proattivo alle rispettive agenzie di sicurezza informatica dei propri paesi, anziché attendere che si verifichi un incidente.
«In questo momento si stanno verificando attività ostili sul territorio del Regno Unito [e degli Stati Uniti]», ha affermato McCallum. «Non abbiamo bisogno di costruire muri per isolarci dal resto del mondo. “Dobbiamo davvero sviluppare la nostra consapevolezza e compiere scelte consapevoli per rafforzare la nostra resilienza.”
Rivolgendosi alla folla, i rappresentanti hanno sottolineato all’unisono che «Voi – gli innovatori e i tecnologi del Regno Unito [e degli Stati Uniti], i nostri ricercatori e scienziati, i nostri imprenditori – rappresentate uno dei maggiori punti di forza del Regno Unito [e degli Stati Uniti].» Ecco perché siete stati presi di mira. «Non lasciamo che il vostro successo diventi un vantaggio competitivo per la Cina».
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Diversi esperti di sicurezza hanno previsto un aumento significativo delle attività informatiche sostenute dalla Cina e rivolte contro gli Stati Uniti e i loro alleati occidentali. Il fatto che la MI5 e l’FBI abbiano unito le forze per affermarlo pubblicamente attraverso un comunicato congiunto senza precedenti conferisce ulteriore credibilità a questa teoria. CTI seguirà con grande attenzione l’attività dei vari APT associati alla Cina; tale impegno comprende la creazione e l’aggiornamento periodico di profili degli autori delle minacce contenenti informazioni operative sugli attori cinesi che riteniamo rappresentino il rischio maggiore per Tanium e per i suoi clienti e partner.
Per quanto riguarda il tentativo della Cina di insabbiare quella che potrebbe rivelarsi la più grande fuga di dati della storia, ebbene, nell’agosto del 2021 l’Assemblea nazionale del popolo cinese ha approvato una legge volta a tutelare la privacy dei dati degli utenti online e ha attuato tale normativa nel novembre dello stesso anno. La Legge sulla protezione dei dati personali (PIPL) prevede per i trasgressori sanzioni pecuniarie fino a circa 7,7 milioni di dollari o pari al 5% del fatturato annuo. Sebbene agli occhi di chi osservava dall’esterno potesse sembrare una vittoria per la libertà su Internet, l’approvazione della legge è stata vista dalla maggior parte delle persone come il completamento di un ulteriore pilastro a sostegno degli sforzi del Paese volti a inasprire le normative nel cyberspazio e ad aggiungere ulteriori requisiti di conformità per le aziende cinesi.
Il mese scorso, la CISA ha diffuso un avviso in cui venivano descritte in dettaglio le TTP più comuni e le vulnerabilità note prese di mira da attori malintenzionati sostenuti dalla Cina; è probabile che tale avviso sia stato diffuso in risposta – e in previsione – di un’intensificazione dell’attività informatica cinese rivolta contro entità occidentali.”
2. Lo strumento di red teaming “Brute Ratel C4” è ora oggetto di uso improprio da parte di soggetti malintenzionati
Un recente articolo pubblicato sul blog dedicato alla ricerca sulla sicurezza dell’Unità 42 di Palo Alto descrive in dettaglio Brute Ratel C4 (si apre in una nuova scheda), uno strumento di red teaming che gli autori di minacce malintenzionati stanno attualmente utilizzando per sferrare attacchi. I ricercatori hanno analizzato un campione caricato su VirusTotal, che ha ricevuto un verdetto di innocuità da tutti i 56 fornitori che lo hanno valutato.
📢 Il sito di Palo Alto @Unit42_Intel ha pubblicato un rapporto su Brute Ratel C42. Questo sofisticato strumento del “red team” è stato sviluppato per eludere #endpoint il rilevamento e #antivirus le funzionalità di rilevamento. Protegga la Sua rete e consulti i seguenti link: unit42.paloaltonetworks.com/brute-ratel-c4…. #Cybersecurity #VulnerabilityManagement #BRc4 #IOCs
Che cos’è Brute Ratel C4?
Brute Ratel C4 è uno strumento per i test di penetrazione e il red teaming lanciato sul mercato nel dicembre 2020. È simile, per natura, a Cobalt Strike, un altro strumento di red teaming che è diventato un elemento fondamentale e affidabile nell’arsenale di una vasta gamma di attori malintenzionati e criminali informatici.
Lo strumento si presenta come un centro di comando e controllo personalizzato per operazioni di simulazione del Red Team e degli avversari e vanta attualmente oltre 350 clienti. Questo strumento consente a un’organizzazione di simulare un attacco informatico e di verificare l’efficacia dei propri controlli di sicurezza.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’utilizzo di strumenti per i test di penetrazione da parte degli autori delle minacce non è un fenomeno nuovo. Da anni ormai gli autori di attacchi informatici sfruttano strumenti di penetration testing quali Burp Suite, Cobalt Strike e Metasploit.
Questi strumenti rappresentano un'arma a doppio taglio, in quanto possono rivelarsi incredibilmente preziosi per le organizzazioni che intendono testare i controlli di sicurezza all'interno del proprio ambiente, ma possono al contempo fungere da strumento già pronto all'uso quando vengono sfruttati a fini malevoli dagli autori delle minacce. Il fatto che tali strumenti siano spesso di facile utilizzo e presentino una bassa barriera all’accesso non fa che aggravare la situazione, rendendo strumenti come Brute Ratel C4 accessibili a una platea ancora più ampia di criminali informatici, indipendentemente dal loro livello di competenza tecnica.
Può risultare difficile Detectare un autore di minacce che utilizzi tali strumenti, poiché la sua attività potrebbe essere mascherata dalle legittime operazioni di test condotte dal red team all’interno dell’ambiente. Ciò evidenzia la necessità, per le organizzazioni, di Detect e monitorare l’utilizzo degli strumenti di penetration testing all’interno dell’ambiente, nonché di verificare l’origine e la legittimità di ciascuno strumento in uso.
È inoltre opportuno sottolineare che è stato osservato che alcuni autori di minacce utilizzano file LNK per scaricare Brute Ratel C4. “L’uso improprio dei file LNK da parte dei criminali informatici sta diventando sempre più diffuso negli ultimi tempi, tanto che tali file vengono ormai rapidamente associati a minacce di rilievo.”
3. Un attacco alla catena di fornitura del software NPM sottrae dati da app e siti web
I ricercatori dell’ ReversingLabs hanno scoperto una campagna su larga scala volta a installare moduli NPM dannosi (si apre in una nuova scheda) che raccolgono dati sensibili dai moduli presenti nelle applicazioni mobili e nei siti web. L'attacco coordinato è noto come IconBurst.
Dettagli della campagna
IconBurst contiene circa due dozzine di pacchetti NPM dannosi che includono codice JavaScript offuscato contenente codice dannoso, progettato per raccogliere dati sensibili degli utenti tramite moduli incorporati in applicazioni mobili e siti web a valle.
Secondo il sito ReversingLabs, i pacchi risalgono ad almeno sei mesi fa. ReversingLabs afferma inoltre di disporre di prove relative a un attacco coordinato alla catena di approvvigionamento, che coinvolge numerosi pacchetti NPM contenenti script JQuery in grado di sottrarre dati dalle applicazioni che li utilizzano.
Gli attacchi malevoli della campagna IconBurst si basano su una strategia denominata “typo-squatting”, simile a quella impiegata negli attacchi di “dipendenza confusa” ( ) recentemente scoperti (e alla fine risultati innocui, poiché si è appurato che fossero opera di un pen-tester troppo zelante) (si apre in una nuova scheda) (segnalati anche da ReversingLabs), che sembravano prendere di mira organizzazioni tedesche.
Con il “typo-squatting”, gli autori degli attacchi distribuiscono pacchetti dannosi attribuendo loro nomi che, a prima vista, sembrano quelli di pacchetti legittimi. Ciò avviene ricorrendo a errori ortografici comuni o a parole simili che inducono gli utenti meno attenti a utilizzare i pacchetti contraffatti. Ad esempio, in un caso rilevato da ReversingLabs, i dati sottratti tramite icon-package sono stati indirizzati verso un dominio denominato ionicio[.]com, una pagina contraffatta progettata per assomigliare al sito web legittimo ionic[.]io.
Secondo ReversingLabs, gli autori dell’attacco “si sono spacciati per moduli NPM molto diffusi, come umbrellajs, e per pacchetti pubblicati da ionic.io. Tuttavia, sono gli utenti finali del software (e i loro dati), piuttosto che le organizzazioni di sviluppo, a costituire i veri obiettivi.”
Impact/scala
I pacchetti in questione, la maggior parte dei quali è stata pubblicata negli ultimi mesi, sono stati scaricati complessivamente più di 27.000 volte fino ad oggi. A peggiorare le cose, la maggior parte dei moduli continua a essere disponibile per il download dal repository iconic.io.
Sebbene non sia ancora nota la portata complessiva di questo attacco, i pacchetti dannosi individuati dai ricercatori di ReversingLabs sono probabilmente utilizzati da centinaia, se non migliaia, di applicazioni mobili e desktop e siti web a valle. In un caso, un pacchetto dannoso era stato scaricato più di 17.000 volte.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Sebbene questa scoperta sia certamente preoccupante, teniamo tutti presente che in passato ReversingLabs si è già reso responsabile di aver ‘agito con precipitazione’ nel segnalare presunte attività dannose, prima di averne accertato con certezza l’origine (si veda la campagna tedesca citata in precedenza). Tenendo conto di ciò, raccomandiamo ai lettori di considerare, al momento, questa fonte di informazioni con un grado di affidabilità medio, così come facciamo noi. Detto questo, le prove relative al “typo-squatting” e all’offuscamento del codice presentate nei risultati della loro indagine sembrano piuttosto inoppugnabili.
Inoltre, gli autori del malware responsabili della campagna hanno successivamente modificato la propria metodologia per massimizzare i profitti, raccogliendo informazioni da ogni elemento dei moduli presenti in ciascuna applicazione e pagina web compromessa – il che è indicativo di un approccio sempre più aggressivo alla raccolta di dati, oppure del fatto che uno o più autori dell’attacco stiano cercando di massimizzare i profitti prima che la divulgazione pubblica della loro campagna comprometta la loro operazione. È inoltre preoccupante l’apparente successo dell’attacco e il numero di download coinvolti, poiché ciò mette in evidenza sia la tendenza degli sviluppatori a nutrire un’eccessiva fiducia nella legittimità dei pacchetti più diffusi, sia la mancanza di barriere efficaci volte a impedire che codice dannoso o vulnerabile penetri in ambienti sensibili di sviluppo e informatici.”
La Sua azienda è a rischio? Compili il nostro questionario di valutazione dei rischi e scopra
Il panorama delle minacce informatiche è vasto e in continua evoluzione, con nuove minacce che emergono costantemente. I vostri endpoint sono esposti a numerosi attacchi e a diversi autori di minacce. Ed è solo questione di tempo prima che i criminali informatici superino le vostre difese e penetrino nella vostra rete.
Cogliete questa opportunità per verificare il livello di preparazione della vostra organizzazione in materia di sicurezza informatica grazie alla nostra valutazione “ Tanium Risk ”. Richieda oggi stesso il Suo rapporto gratuito sui rischi. (si apre in una nuova scheda)
