Nel riassunto di questa settimana: alcuni autori di attacchi hanno implementato una funzione di ricerca che consente alle vittime di individuare più facilmente i dati trapelati e la stanno utilizzando come strumento di estorsione. Inoltre, si ritiene che gli attacchi APT, presumibilmente sostenuti dalla Cina, prendano sempre più di mira la Russia. Inoltre, l’ondata di attacchi QBot è stata attribuita ai miglioramenti e alle nuove tecniche di attacco messe in atto dagli sviluppatori e dagli operatori di questo malware di lunga data.
1. Le bande di autori di ransomware consentono ora di effettuare ricerche nei dati da loro sottratti
Due gruppi di ransomware e un gruppo specializzato nell’estorsione di dati hanno adottato una nuova strategia per costringere le vittime a cedere alle richieste di riscatto, al fine di impedire che i dati sottratti vengano resi pubblici dagli stessi aggressori.
Questi gruppi hanno aggiunto una funzione di ricerca sui propri siti dedicati alle fughe di dati, che consente alle vittime e ai loro partner, clienti o azionisti di verificare più facilmente se i dati trapelati contengano informazioni sensibili o dannose relative alle loro attività o relazioni.
Secondo BleepingComputer (si apre in una nuova scheda), l’operazione del ransomware ALPHV/BlackCat potrebbe aver dato il via a questa tendenza. La settimana scorsa hanno reso pubblico un database consultabile contenente dati sottratti a vittime che non hanno effettuato il pagamento.
Un gruppo di hacker specializzato in ransomware consente ora di effettuare ricerche tra i dati da loro sottratti - @Ionut_Ilascu bleepingcomputer.com/news/security/…
Il gruppo di autori del ransomware ha chiarito che sta indicizzando gli archivi, suggerendo utilmente che l’opzione di ricerca funziona al meglio quando gli utenti cercano informazioni in base al nome del file o al contenuto che si sa essere presente nei documenti o nelle immagini. I risultati sono stati ricavati dalla funzione “collezioni” presente sul sito dedicato alle fughe di notizie di BlackCat. E sebbene vi sia ancora margine di miglioramento per quanto riguarda l’accuratezza di tale funzionalità, tale capacità rappresenta un’innegabile evoluzione della metodologia di estorsione adottata dagli autori delle minacce.
Quando gran parte del successo di un’operazione di estorsione dipende dall’intensità della pressione che è in grado di esercitare sulle proprie vittime, la capacità di analizzare il contenuto dei dati sottratti rappresenta un’aggiunta inestimabile al bagaglio di strumenti di cui dispongono tali soggetti. Questa funzionalità di facile implementazione potrebbe rivelarsi una risorsa fondamentale per i gruppi dediti all’estorsione che tentano di convincere le vittime a pagare per la rimozione dei dati; consentendo al contempo alle vittime di evitare ulteriori grattacapi, quali azioni legali collettive e ingenti sanzioni da parte delle autorità di controllo sulla protezione dei dati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Quello a cui stiamo assistendo è l’ennesima evoluzione naturale della metodologia adottata dai criminali informatici specializzati in estorsioni, che mirano ad aumentare la pressione sulle proprie vittime affinché acconsentano alle richieste di riscatto, incrementando così la probabilità e la frequenza dei pagamenti andati a buon fine.» Abbiamo assistito alla stessa situazione con l’emergere della tattica della “doppia estorsione” e, nuovamente, con l’inevitabile adozione della tattica della “tripla estorsione” da parte di criminali informatici mossi da motivazioni finanziarie.
Resta da vedere se l’attuazione di una tattica apparentemente così banale si rivelerà efficace per gli autori delle minacce sopra citati e per coloro che, in futuro, adotteranno sicuramente tale funzionalità di ricerca nel tentativo di stare al passo con i propri pari. Ciò che è chiaro è che questa tattica non richiede alcun investimento significativo; pertanto, qualora dovesse rivelarsi efficace, diventerà sicuramente un aggiornamento interessante per i siti dedicati alla divulgazione di dati riservati, gestiti da varie organizzazioni dedite alla cyber-estorsione.”
2. Secondo un’analisi, gli hacker legati al governo cinese prendono sempre più di mira la Russia
Gli hacker di Stato legati all’ , al governo cinese (si apre in una nuova scheda) sembrano prendere di mira sempre più spesso entità russe, secondo quanto riferisce Tom Hegel, ricercatore senior in materia di minacce presso SentinelOne. La motivazione alla base dell’attività in corso è di natura spionistica, come dimostra la natura mirata dell’attività stessa, che indica la presenza di attori di minacce informatiche sostenuti dallo Stato che nutrono un forte “interesse per l’Asia nord-orientale, compresi i governi, le infrastrutture critiche e altre imprese private”.
È stato pubblicato l'ultimo articolo su @LabsSentinel , che mette in evidenza le recenti attività APT cinesi. Punti salienti: 🟣 Royal Road Maldocs > RAT (Bisonal) 🟣 RU / PK: strategia mirata (governo + infrastrutture critiche) 🟣 Opportunità di pivoting particolarmente interessanti
🇨🇳 Novità su #SentinelLabs! Una campagna di phishing collegata alla Cina mira a compromettere obiettivi russi tramite malware personalizzato progettato per lo spionaggio. Ricerca a cura di @TomHegel sentinelone.com/labs/targets-o… cc: @LabsSentinel #russia #china #cybersecurity #cyberespionage #research #espionage
L’analisi di Hegel attribuisce, con un elevato grado di certezza, gli attacchi contro obiettivi russi a un gruppo di spionaggio informatico sostenuto dallo Stato cinese. Una conclusione analoga è stata presentata anche in un avviso pubblicato di recente dal CERT ucraino ( , CERT-UA) all’indirizzo (si apre in una nuova scheda). Gli attacchi utilizzano e-mail di phishing del tipo “ ” ( ) per inviare documenti di Microsoft Office (MS Word) Microsoft con lo scopo di sfruttare le vulnerabilità dei bersagli e, in ultima analisi, installare il trojan di accesso remoto (RAT) di loro scelta, che sembra essere Bisonal — un RAT utilizzato esclusivamente da attori malintenzionati cinesi. Bisonal vanta una lunga storia di impiego in campagne di spion o contro aziende del settore della difesa (si apre in una nuova scheda) in Russia, Giappone e Asia settentrionale – e, più recentemente, in attacchi contro organizzazioni di telecomunicazioni pakistane.
Secondo SentinelOne, i recenti obiettivi di intelligence della Cina nei confronti della Russia sono riscontrabili in diverse campagne svoltesi a seguito dell’inizio del conflitto tra Russia e Ucraina, quali: Scarab (si apre in una nuova scheda), Mustang Panda (si apre in una nuova scheda), Space Pirates (si apre in una nuova scheda), e ora l’attività qui descritta. SentinelOne ritiene che si tratti di una campagna cinese distinta, ma Hegel ammette che al momento non sia possibile attribuire la responsabilità a un attore specifico. L'utilizzo del RAT Bisonal rappresenta probabilmente un fattore che ha contribuito alle difficoltà incontrate dai ricercatori di SentinelOne nel determinare l'attribuzione di tale attività. Gli APT cinesi sono noti per la condivisione di strumenti e metodologie, e il malware è stato utilizzato da un’ampia gamma di attori malintenzionati sostenuti dalla Cina in diversi momenti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«La Cina ha recentemente intrapreso numerose iniziative significative nel settore informatico. Come recentemente riportato dal CTI dell’ (si apre in una nuova scheda), il Partito Comunista Cinese (PCC) e il suo governo, sottoposto a stretto controllo – comprese le sue numerose e ben finanziate organizzazioni APT affiliate al Ministero della Sicurezza di Stato cinese (MSS) e all’Esercito Popolare di Liberazione (PLA) – sono apertamente impegnati in una campagna a lungo termine volta a diventare l’UNICA superpotenza mondiale. Ciò comporta l’attuazione della strategia cinese denominata «whole-of-state»; un nome altisonante attribuito a un’operazione su scala nazionale volta a sottrarre alle nazioni occidentali «competenze, tecnologie, ricerca e vantaggi commerciali all’avanguardia a livello mondiale», nell’ambito di un intenso sforzo volto a rafforzare la posizione della Cina sulla scena globale.
La Cina non ha esattamente a cuore gli interessi degli Stati Uniti o dei loro alleati. Tuttavia, dal punto di vista di un osservatore che ha seguito da quasi un decennio l’attività informatica della Cina e il potenziamento delle sue capacità offensive, non posso fare a meno di pensare che si stia profilando un cambiamento epocale. Ciò è dimostrato dall’aumento degli avvisi relativi alla Cina emessi dalla CISA, dal CERT-UA, dal MI5 e dall’FBI.
Tenendo conto di tutto ciò, CTI sta adottando un approccio proattivo nei confronti di quella che riteniamo sarà un’imminente ondata di attacchi informatici (molto probabilmente sotto forma di attacchi alla catena di approvvigionamento e attacchi a MSP, ISP e operatori di telecomunicazioni) provenienti da attori malintenzionati cinesi legati allo Stato.”
3. L’aumento degli attacchi del malware Qakbot è riconducibile all’evoluzione delle tecniche di attacco
Un recente rapporto del team di ricerca sulla sicurezza Threatlabz di Zscaler (si apre in una nuova scheda) descrive in dettaglio un significativo aumento della diffusione del malware Qakbot (noto anche come QBot) negli ultimi sei mesi, che i ricercatori attribuiscono a nuove tecniche di attacco e agli aggiornamenti apportati al malware.
QBot è rimasto una minaccia prevalente negli ultimi 14 anni, dimostrando un grado di longevità fuori dal comune nel contesto di un panorama delle minacce informatiche in costante evoluzione, in cui famiglie di malware e autori di minacce con minore capacità di resistenza compaiono, scompaiono e cambiano nome con regolarità.
La minaccia rappresentata da QBot è in gran parte dovuta alla sua natura modulare, nonché alla capacità del malware di sottrarre informazioni e distribuire payload di seconda fase – che spesso assumono la forma di ransomware; ciò è dovuto alla propensione di QBot a intrattenere partnership redditizie con alcune delle bande di estorsori più famigerate del panorama criminale.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il fatto che QBot sia sopravvissuto per oltre un decennio e appaia più forte che mai (come dimostrano l’evoluzione delle sue tecniche, tattiche e procedure, il continuo sviluppo del codice e le partnership in forte espansione con alcune delle operazioni di ransomware più pericolose del panorama delle minacce) parla da sé. Si tratta di un'operazione di malware che è stata considerata una minaccia significativa sin dal suo esordio e che dovrebbe essere trattata come tale. È molto probabile che molti dei gruppi di ransomware che abbiamo imparato a conoscere e a temere non avrebbero nemmeno la metà del loro impatto se non fosse per il fatto che fanno affidamento su malware “precursori” come QBot o su una qualsiasi delle altre famiglie di malware di primo piano che rendono possibili rapide infezioni da ransomware di interi domini – in alcuni casi, crittografando i sistemi a livello di dominio nel giro di poche ore.”
Approfondimenti: eBook “Proteggere la superficie di attacco IT”
Oggigiorno tutte le aziende sono esposte al rischio di minacce informatiche pericolose e in continua evoluzione. I CIO necessitano di strumenti, processi e personale per impedire che i dati sensibili finiscano nelle mani dei criminali informatici. Ma come è possibile proteggere la superficie di attacco informatico mentre si porta avanti la trasformazione digitale? Scoprite le risposte nel nostro eBook gratuito “ ” (si apre in una nuova scheda).
Consultate i nostri recenti riepiloghi sulla sicurezza
