Nel rapporto di questa settimana: APT29 campagne sostenute dalla Russia stanno ora utilizzando servizi di archiviazione cloud molto diffusi, quali Google Drive e Dropbox, per eludere i sistemi di rilevamento e diffondere malware. Inoltre, il nuovo malware CloudMensis sta prendendo di mira gli utenti macOS e servizi cloud affidabili per sferrare attacchi di comando e controllo (C2) e per l’esfiltrazione di dati. Illustriamo inoltre il nuovo malware “ Linux ”, basato sul framework Lightning, che è dotato di numerose funzionalità che gli consentono di introdurre backdoor nei dispositivi e di installare rootkit.
1. Gli hacker russi del gruppo “ APT29 ” utilizzano Google Drive e Dropbox per eludere i sistemi di rilevamento
Secondo l’Unit 42, il gruppo APT (Advanced Persistent Threat) sostenuto dalla Russia, noto principalmente come APT29 (si apre in una nuova scheda) (alias Nobelium o Cozy Bear), sta ora sfruttando servizi cloud affidabili e legittimi come Google Drive e Dropbox per eludere il rilevamento, sottrarre dati e distribuire malware e strumenti di hacking.
I ricercatori dell’Unità 42’s sostengono che l’utilizzo di tali servizi cloud (si apre in una nuova scheda) a fini di C2, archiviazione e diffusione di malware non sia del tutto una novità per questo gruppo. La diffusione capillare e il clima di fiducia intrinseco che caratterizzano tali servizi rendono comprensibile, ma anche preoccupante, la loro inclusione nelle operazioni APT29’s .
Informazioni su APT29
Il gruppo APT29 è noto soprattutto per il ruolo svolto nell’attacco informatico ai danni del Comitato Nazionale Democratico degli Stati Uniti (DNC) nel 2016 e per il ruolo di primo piano che si ritiene abbia avuto nella catastrofica violazione della catena di approvvigionamento ai danni di SolarWinds nel 2020 (si apre in una nuova scheda). Si ritiene con elevato grado di certezza che il gruppo APT29 operi per conto del Servizio di intelligence estero russo (SVR). La motivazione principale di tale attore è lo spionaggio; a lui vengono attribuite sofisticate ed efficaci campagne di spear-phishing rivolte a enti governativi, militari e diplomatici che sembrano allinearsi agli interessi statali e geopolitici del governo russo.
Analizziamo nei dettagli tecnici le recenti campagne condotte da Cloaked Ursa (nota anche come #APT29), che si ritiene abbiano preso di mira diverse missioni diplomatiche occidentali tra maggio e giugno 2022. bit.ly/3IPmqPv
Dettagli della campagna
L’utilizzo di APT29’s servizi di archiviazione online di fama mondiale è stato osservato per la prima volta in attacchi rivolti contro missioni diplomatiche occidentali e ambasciate straniere in tutto il mondo (si apre in una nuova scheda) dall’inizio di maggio fino a giugno 2022.
Highly convincing spear phishing attacks are APT29’s favored method of achieving initial access, and this campaign appears to be no exception. Gli attacchi iniziano in genere con l’invio, da parte dell’autore, di e-mail di phishing ai destinatari presso le ambasciate straniere, spacciandole per inviti a incontri con gli ambasciatori. Le e-mail contengono file PDF compromessi, che riportano i presunti ordini del giorno delle riunioni; tali file rimandano a un account Dropbox controllato dagli autori dell’attacco e rilasciano un payload Cobalt Strike sul dispositivo della vittima.
Secondo un recente articolo pubblicato da ZDNet riguardante la crescente diffusione dei servizi cloud affidabili tra gli hacker (si apre in una nuova scheda) per vari scopi malevoli, questi primi tentativi non hanno avuto esito positivo – un fatto che, secondo l’autore dell’articolo, i ricercatori attribuiscono alle politiche restrittive delle reti aziendali, che impediscono l’uso di determinati servizi di terze parti. Lo stesso articolo afferma che gli autori dell’attacco si sono rapidamente adattati, inviando e-mail di phishing simili come seconda esca, ma questa volta avvalendosi di account di Google Drive ( Google ) per nascondere le proprie azioni e distribuire Cobalt Strike e altri payload malware negli ambienti di destinazione. Questa seconda ondata di scioperi sembra aver riscosso un maggiore successo, probabilmente grazie all’ampio ricorso alle applicazioni Google nei luoghi di lavoro a supporto delle operazioni quotidiane.
Come molte altre campagne di questo tipo, l’obiettivo finale di APT29’s è quello di diffondere malware aggiuntivo, quali , EnvyScout, (si apre in una nuova scheda),e , affinché fungano da backdoor per accedere a reti contenenti informazioni sensibili o per un potenziale utilizzo in attacchi futuri.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sebbene l’utilizzo di questi due specifici servizi di archiviazione cloud per diffondere malware e occultarne la distribuzione possa rappresentare, dal punto di vista tecnico, una nuova tattica per il gruppo APT29, da precedenti segnalazioni emerge che tale gruppo abbia già sperimentato in passato l’uso di tali servizi legittimi per altri scopi.» Se gli attacchi continueranno ad avere successo, è probabile che il APT29 continui a ricorrere a tali metodi. Inoltre, se si deve dare credito a un recente studio del Ponemon Institute, APT29’s attacchi si verificano in un momento in cui il 60% dei responsabili IT e della sicurezza non si ritiene in grado di garantire la sicurezza degli ambienti cloud (si apre in una nuova scheda).
Inoltre, l’attività di questo gruppo non solo è indicativa dell’aumento delle operazioni di hacking legate alla Russia osservato sulla scia di delle turbolenze geopolitiche nell’Europa orientale (si apre in una nuova scheda) – ma tali campagne fungono anche da promemoria della loro APT29’s adattabilità e sofisticatezza.
L’Unità 42 incoraggia tutte le organizzazioni a «riesaminare le proprie politiche relative alla posta elettronica e gli IOC forniti nel presente rapporto per far fronte a questa minaccia». Il CTI concorda e ha adottato un approccio proattivo alle attività di intelligence in previsione di eventuali ripercussioni derivanti da attacchi informatici sponsorizzati dallo Stato (che agenzie come la CISA (si apre in una nuova scheda) hanno ripetutamente segnalato potrebbero assumere la forma di attacchi malware distruttivi con ripercussioni sulle entità occidentali) provenienti da attori malintenzionati russi.”
2. Gli esperti hanno scoperto un nuovo spyware denominato CloudMensis che prende di mira gli utenti di Apple macOS
Un recente rapporto di WeLiveSecurity descrive in dettaglio la scoperta di una backdoor per macOS, denominata “ ”, finora sconosciuta (si apre in una nuova scheda) , che spia gli utenti dei dispositivi compromessi.
Avvalendosi di una metodologia simile a quella descritta nel caso precedente, il malware, denominato CloudMensis, utilizza esclusivamente servizi di archiviazione su cloud pubblico quali pCloud, Yandex Disk e Dropbox per ricevere i comandi degli autori dell’attacco ed esfiltrare i file.
CloudMensis: una panoramica
Il malware, individuato per la prima volta all’inizio del 2022, consente agli operatori di raccogliere informazioni dai dispositivi macOS delle vittime tramite l’esfiltrazione di documenti, la registrazione dei tasti digitati e l’acquisizione di schermate. Una volta ottenuta l’esecuzione del codice e i privilegi amministrativi, ha inizio un processo in due fasi: la prima fase scarica ed esegue la seconda fase. Al momento i ricercatori non sono in grado di individuare il vettore di infezione iniziale alla base di tali attacchi.
Il malware di primo livello scarica e installa il malware di secondo livello come daemon a livello di sistema (un programma che viene eseguito come processo in background, anziché essere sotto il controllo diretto di un utente). A questo punto, gli autori dell'attacco hanno già ottenuto i privilegi di amministratore, poiché entrambe le directory in cui si osserva la scrittura di file su disco possono essere modificate solo dall'utente root.
La seconda fase del malware è costituita da un componente più esteso, che contiene diverse funzionalità progettate per raccogliere informazioni dai dispositivi compromessi. Lo scopo di questa fase è quello di estrarre i documenti acquisiti, gli screenshot, gli allegati e-mail, ecc. CloudMensis utilizza l’archiviazione su cloud sia per ricevere comandi dai propri operatori, sia per l’esfiltrazione dei file. Il malware attualmente supporta tre fornitori: pCloud, Yandex e Dropbox.
Nuovo malware CloudMensis utilizzato per spiare i Mac in attacchi mirati - @serghei bleepingcomputer.com/news/security/…
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«I ricercatori osservano che “la qualità generale del codice e la mancanza di offuscamento indicano che gli autori potrebbero non avere molta familiarità con lo sviluppo di Mac i e non siano particolarmente esperti”.» Sebbene la qualità del codice possa essere inferiore alla media, CloudMensis non dovrebbe essere ignorato. Infatti, dato che il malware utilizza servizi di archiviazione pubblica affidabili per ricevere i comandi degli autori degli attacchi e per sottrarre file (una tendenza in crescita sia tra i cybercriminali più esperti che tra gli APT), sarebbe opportuno tenere sotto stretta osservazione CloudMensis e i suoi sviluppi.”
3. Il nuovo malware " Linux ", basato sul framework Lightning, installa rootkit e backdoor
CTI sta monitorando attivamente il nuovo “Lightning Framework (si apre in una nuova scheda)”, un nuovo e pericoloso tipo di malware che prende di mira i sistemi Linux .
Secondo il blog di ricerca sulle minacce Intezer, questo malware, paragonabile a un “coltellino svizzero”, può essere utilizzato per creare una backdoor nei dispositivi infetti (si apre in una nuova scheda) e per distribuire diversi tipi di rootkit.
Lightning Framework è costituito da un programma di download e da un modulo principale, con diversi plugin disponibili, molti dei quali sono strumenti open source. Il framework ricorre inoltre ampiamente al typosquatting e alla mascheratura per non essere individuato.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Lightning Framework è l’ultima famiglia di malware di tipo ‘ Linux ’ emersa negli ultimi mesi, dopo la comparsa di BPFDoor (si apre in una nuova scheda), Symbiote (si apre in una nuova scheda), Syslogk (si apre in una nuova scheda) e OrBit (si apre in una nuova scheda) (tutte le quali sono state oggetto di segnalazioni da parte di CTI in un modo o nell’altro).” Se questo non dimostra quanto gli autori delle minacce siano interessati a prendere di mira gli ambienti “ Linux ”, non so proprio cosa possa farlo. Lightning Framework è dotato di un numero incredibile di funzionalità rispetto alla maggior parte dei malware di tipo “ Linux ” segnalati in precedenza. Il fatto che un malware presenti una tale ricchezza di funzionalità in una fase così precoce del suo sviluppo rende Lightning Framework un oggetto di estremo interesse.
I ricercatori di Intezer hanno rilevato che non è stato possibile individuare diversi file del Lightning Framework ai fini dell'analisi. CTI continuerà a seguire lo sviluppo del Lightning Framework e a fornire aggiornamenti man mano che emergeranno ulteriori dettagli.”
Bloccate tempestivamente gli attacchi con l’ Tanium
Le minacce emergenti, come Lightning Framework, devono essere individuate ed eliminate rapidamente prima che possano causare danni alla vostra organizzazione.
Per aiutarvi, offriamo una potente soluzione di Threat Hunting che garantisce una segnalazione delle minacce rapida e accurata. Per scoprire in che modo la soluzione Threat Hunting di Tanium possa contribuire a proteggere la Sua organizzazione, guardi questa demo (si apre in una nuova scheda).
