In questo report, esploriamo come una minaccia persistente avanzata (Advanced Persistent Threat, APT) di lingua cinese stia conducendo attacchi ai sistemi di controllo industriale (Industrial Control System, ICS) sfruttando una variante backdoor rinnovata di ShadowPad. Inoltre, il collettivo di hacker di DragonForce afferma di volersi allontanare dall’attivismo verso il crimine informatico, principalmente attraverso l’utilizzo di ransomware.
E infine, Microsoft sta ora avvertendo di importanti aggiornamenti all’arsenale della banda 8220 , che supporta l’attività di cripto-furto del gruppo e sta sfruttando attivamente una vulnerabilità di Confluence.
Diamo un’occhiata più da vicino a queste storie in via di sviluppo.
1. Un gruppo APT cinese utilizza ShadowPad per attaccare i sistemi di controllo industriali
Un nuovo rapporto di Kaspersky (si apre in una nuova scheda) descrive una campagna attiva che sfrutta la backdoor ShadowPad in attacchi mirati a diversi sistemi di controllo industriale (ICS) appartenenti a entità di telecomunicazioni in Medio Oriente. Questa ondata di attacchi, che prende di mira specificamente i computer ingegneristici nei sistemi di automazione degli edifici (BAS), è iniziata a metà del ottobre 2021.
Durante l’indagine sulla campagna, i ricercatori hanno trovato prove di attività su larga scala e hanno identificato ulteriori vittime. Inoltre, Kaspersky afferma che la campagna è simile agli attacchi che marzo 2021 coinvolgono una versione precedente della backdoor ShadowPad, nonché l’uso di un insieme simile di tattiche, tecniche e procedure (TTP) implementate contro le organizzazioni di logistica e trasporto in un porto in Malesia.
Punti chiave da ricordare
- Alcune delle organizzazioni prese di mira sono vittime della vulnerabilità CVE-2021-26855 (si apre in una nuova scheda) in Microsoft Exchange.
- Da marzo a almeno ottobre 2021, la backdoor ShadowPad è stata scaricata sui computer delle vittime come file mscoree.dll, lanciato da AppLaunch.exe, un'applicazione legittima eseguita tramite la creazione di un'attività in Utilità di pianificazione di Windows .
- Successivamente gli aggressori hanno lanciato ShadowPad utilizzando il dirottamento DLL in un'applicazione di visualizzazione di oggetti OLE-COM legittima (OleView).
- Dopo l’infezione iniziale, gli aggressori hanno inviato comandi manualmente, quindi automaticamente.
- Gli aggressori hanno utilizzato domini registrati con NameSilo, GoDaddy e ENOM per comunicare con i server di comando e controllo (C2). La maggior parte dei C2 server erano ospitati su server dedicati noleggiati dal fornitore di servizi gestiti (MSP) Choopa.
Kaspersky sostiene che il gruppo ha utilizzato strumenti aggiuntivi durante la campagna. Ciò include il sempre popolare framework Cobalt Strike, che hanno scaricato sui computer vittima utilizzando l'utilità certutil.exe, le shell web aspx compilate e gli strumenti procdump e Mimikatz. Ulteriori strumenti utilizzati dagli aggressori includono la backdoor PlugX, i file BAT per il furto di credenziali, le web shell per ottenere l'accesso remoto al server Web e l'utilità Nextnet per la scansione degli host di rete.
L’attività post-sfruttamento comporta la distribuzione di uno script dannoso per cmd.exe sulle reti delle vittime. Lo script è stato aggiunto al pianificatore attività per eseguire l'esecuzione giornaliera. Ci sono diversi comandi all'interno dello script, ma il suo obiettivo generale è quello di raccogliere informazioni di sistema e utente, copiare i file e metterli in scena per l'esfiltrazione, montare unità di rete utilizzando account di dominio legittimi (prova che gli aggressori hanno rubato credenziali di autenticazione del dominio da almeno un account in ogni organizzazione attaccata), lanciare il dumper di credenziali Mimikatz e altro ancora. Kaspersky afferma che quest’ultima parte della strategia TTP degli aggressori è unica e supporta ulteriormente le affermazioni dei ricercatori sul coinvolgimento dello stato cinese.
ShadowPad: una breve panoramica
ShadowPad è un avanzato trojan di accesso remoto modulare (RAT) che vari gruppi di aggressori cinesi hanno utilizzato per lanciare attacchi contro le reti private. ShadowPad è apparso per la prima volta nel 2017 e rimane un meccanismo di attacco popolare.
Nella campagna di cui sopra, la backdoor ShadowPad è stata scaricata sui computer attaccati sotto le spoglie del file mscoree.dll, che è stato lanciato dall'applicazione legittima AppLaunch.exe situata nella stessa cartella di ShadowPad. AppLaunch.exe è stato eseguito creando un'attività nell'Utilità di pianificazione di Windows .
Nuova metodologia: come accennato in precedenza, Kaspersky afferma che da circa metà del ottobre 2021, gli aggressori stanno utilizzando un nuovo schema di lancio unico di ShadowPad e una nuova versione di malware per colpire gli stessi tipi di organizzazioni. Invece di utilizzare mscoree.dll, gli aggressori stanno ora utilizzando la tecnica di dirottamento DLL, abusando del software legittimo per la visualizzazione di oggetti OLE-COM (OleView).
L'applicazione OleView legittima scarica la libreria IVIEWERS.dll dannosa, che a sua volta scarica ed esegue il payload ShadowPad contenuto in IVIEWERS.dll.dat. L'Utilità di pianificazione di Windows è stato utilizzato anche dalla nuova versione di ShadowPad per raggiungere e mantenere un punto d'appoggio nei sistemi di destinazione.
Un'analisi più dettagliata delle modifiche apportate alla nuova variante ShadowPad è presentata in un recente rapporto pubblicato da PwC. (si apre in una nuova scheda)
Commenti degli analisti del Team di intelligence sulle minacce informatiche di Tanium
“L’emergere di una nuova variante di ShadowPad è preoccupante, in quanto è stata precedentemente utilizzata da vari APT cinesi con un certo successo e si è dimostrata una risorsa affidabile per gli attori delle minacce che cercano di impegnarsi in attacchi alla catena di approvvigionamento. CTI è del parere che Kaspersky abbia ragione sul denaro per quanto riguarda le sue affermazioni di attribuzione (sebbene ShadowPad sia stato sfruttato da una varietà di APT sponsorizzati dallo stato nel corso degli anni), poiché sia le regioni prese di mira che la vittimologia mostrata in questi attacchi si allineano con gli interessi statali tradizionali cinesi e sono spesso vittime degli attacchi di spionaggio informatico sostenuti dallo stato del regime.
Si ritiene che ShadowPad sia stato sviluppato da attori delle minacce affiliati all’Atlas Bronze Atlas APT cinese e successivamente condiviso con il Ministero della Sicurezza di Stato cinese (MSS) e l’Esercito di Liberazione del Popolo (PLA) – e per estensione, i loro numerosi affiliati hacker.
2. Il gruppo di hacktivist DragonForce Malaysia rilascia l'exploit di Windows LPE, rivela i piani per evolversi in un gruppo di ransomware
Un recente post sulla threat intelligence di CloudSEK (si apre in una nuova scheda) descrive in dettaglio un nuovo exploit del gruppo di hacktivisti DragonForce Malaysia in grado di eseguire l’escalation dei privilegi (LPE) sui server Windows e azioni del router di distribuzione locale (LDR) sui server indiani.
Chi è DragonForce Malaysia?
DragonForce è un gruppo di hacktivisti con sede in Malesia che una volta era considerato paragonabile alla più nota organizzazione Anonymous. Questo collettivo di hacktivisti si è persino descritto come un gruppo “basato sull’etica e sui principi che portano il bene” e gestisce canali di social media che generano decine di migliaia di visitatori.
L’operazione è nota per attaccare organizzazioni ed enti governativi in tutto il Medio Oriente e in Asia. L’obiettivo preferito di DragonForce è Israele, come dimostra il suo lancio di molteplici operazioni contro la nazione e i suoi cittadini. Il gruppo possiede e gestisce anche un forum online in cui pubblica annunci, discute le sue ultime attività e conduce campagne di reclutamento e promozionali utilizzando TikTok e Instagram.
Attività notevole
La più recente campagna dell’operazione, OpsPatuk, ha colpito l’India con un’ondata di attacchi in risposta ai commenti controversi di alcuni politici indiani. Radware ha pubblicato un advisory (si apre in una nuova scheda) che descrive in dettaglio la campagna che includeva le vulnerabilità sfruttate, gli IOC e i gruppi di minaccia identificati coinvolti nella campagna.
DragonForce, come molti gruppi di hacktivisti, è noto per lavorare con altre bande di criminali informatici per raggiungere i suoi obiettivi. Il gruppo ha seguito le orme di altri hacktivisti riaffiorando durante il conflitto Russia / Ucraina.
Storicamente, DragonForce ha fatto affidamento su strumenti di attacco disponibili pubblicamente per condurre le sue campagne. Il passaggio del gruppo verso strumenti di attacco non pubblicamente disponibili segna un significativo allontanamento dai suoi metodi abituali e forse segnala un miglioramento nella sofisticazione tecnica del gruppo. Tale crescita non sembra però estendersi alle scelte del gruppo in materia di sicurezza operativa (OPSEC).
DragonForce ha recentemente pubblicato un video che descrive in dettaglio il suo nuovo exploit, attribuendo il suo sviluppo a un attore di minacce di nome ‘impossible1337. L’exploit è progettato per colpire le vulnerabilità LPE e LDR del server Windows , ma ulteriori informazioni tecniche sull’exploit non sono ancora disponibili pubblicamente.
Il video cambia quindi direzione, poiché l’attore della minaccia descrive il suo piano di conversione in un gruppo ransomware, arrivando persino a visualizzare in anteprima un campione di note di riscatto per dimostrare la serietà delle sue intenzioni. Dopo il video, il gruppo ha pubblicato un blog sul suo sito web ribadendo i suoi obiettivi di condurre attacchi ransomware su larga scala.
Commenti degli analisti del Team di intelligence sulle minacce informatiche di Tanium
“La cosa più notevole di questa storia è il fatto che un gruppo di hacktivisti sta creando i propri exploit e sta facendo il salto dall’hacktivism al ransomware – prova di una decisione consapevole di fare il salto verso il crimine motivato finanziariamente. Questo cambiamento è significativo, poiché la maggior parte degli hacktivisti tenta almeno di mantenere un aspetto che trasmette una missione ben intenzionata; e di solito non pubblicizza alcun desiderio di ottenere illegalmente denaro attraverso il crimine informatico.
Questo cambiamento nelle motivazioni di DragonForce può servire come ulteriore prova che l’incredibile (e crescente) quantità di denaro generata dall’industria del ransomware sta diventando troppo difficile da ignorare, anche per coloro che hanno iniziato a professare di “portare del bene” al mondo, come ha affermato una volta DragonForce.
È anche interessante che il gruppo abbia pubblicato un video che dettaglia il suo ultimo exploit, annunciando anche i suoi piani per passare al ransomware. Considerando che questo gruppo è stato in anticipo sulle sue vittime mirate, ha essenzialmente dato ai suoi obiettivi (così come le forze dell'ordine) un 'avvertimento' su cosa aspettarsi da loro in futuro. In questo caso, DragonForce sta dando alle potenziali vittime la possibilità di applicare patch ai server Windows prima di un potenziale attacco LPE o LDR di Windows .
3. Microsoft Avvertimento: il malware che prende di mira Linux ha ricevuto un grande aggiornamento
Microsoft Il Threat Intelligence Center (MSTIC) di ha pubblicato una serie di tweet (si apre in una nuova scheda) evidenziando aggiornamenti significativi alle TTP associate alla banda 8200 , un attore di minacce dietro una campagna di malware di lunga durata che ha preso di mira i sistemi Linux .
Il thread di Twitter descrive l’attività recente della campagna e gli aggiornamenti alle TTP dell’autore della minaccia e si conclude con gli indicatori di compromissione (IOC) associati agli ultimi 8220’s attacchi, il cui obiettivo sembra essere motivato finanziariamente, in quanto coinvolgono il cryptomining.
Chi sono i 8220 ?
La banda 8220 è un gruppo di hacker di lingua cinese, Monero, osservato per la prima volta in 2017. Il moniker ‘8220’ si riferisce alla preferenza dell'attore di sfruttare la porta 8220 per le sue comunicazioni C2 .
Questo gruppo è noto per infettare gli host utilizzando servizi cloud comuni, sfruttando un minatore personalizzato e un bot di chat IRC (Internet relay chat) a supporto di ulteriori attacchi e ottenendo l'accesso remoto alle vittime. Guardando alla loro ultima attività, sembra che questa sia stata la metodologia che si è rivelata la più efficace, poiché 8220 ha apparentemente deciso di attenersi a TTP simili fino ai giorni nostri.
Atlassian ha rivelato un bug critico che interessa i suoi prodotti Confluence Server e Data Center (tracciati come CVE-2022-26134) il 2 giugno 2022. Nel giro di una settimana, la società di sicurezza Check Point ha contato la banda di 8220 tra i pochi attori delle minacce che sfruttano il difetto zero-day per scaricare il software di criptomining. Lo dimostrano le scoperte fatte dai ricercatori di Check Point, che nel corso di un’indagine sono stati in grado di estrarre da un sistema infetto un dominio e un wallet crittografico precedentemente collegati a 8220.
MSTIC riferisce che nel corso dell’ultimo anno il gruppo ha attivamente aggiornato le sue tecniche e payload. La sua recente campagna si rivolge ai sistemi Linux i686 e x86_64 e utilizza exploit RCE per CVE-2022-26134 (Confluence) e CVE-2019-2725 (WebLogic) per l'accesso iniziale.
Punti chiave da ricordare
Gli aggiornamenti a 8220 TTP e strumenti includono quanto segue:
- Nuova variante di cryptominer
- Nuovo bot IRC
- Uso di un exploit per una vulnerabilità recentemente segnalata (CVE-2022-26134)
- Uso di un caricatore con capacità di evasione di rilevamento che scarica l'ultima variante del cryptominer pwnRig e il summenzionato bot IRC che esegue i comandi da un server C2 . Il caricatore può sopravvivere ai riavvii creando un'attività pianificata tramite un cron job o uno script che viene eseguito ogni minuto come un comando nohup (no hangup).
Secondo Microsoft, dopo che la banda 8220 ha ottenuto l’accesso iniziale tramite CVE-2022-26134, scarica il suddetto loader sul sistema che poi modifica le configurazioni dell’host per disabilitare i servizi di sicurezza, scarica un cryptominer, stabilisce la persistenza sulla rete di destinazione e quindi scansiona la rete (tramite l’uso dello strumento di scansione delle porte MASSCAN) per trovare altri server potenzialmente vulnerabili.
La propagazione si ottiene con l'aiuto dello strumento di forza bruta SSH basato su GoLang, Spirit. Il loader esegue anche la scansione del disco locale per le chiavi SSH con le quali l'attore può potenzialmente spostarsi lateralmente collegandosi a host fidati.
Poiché il caricatore può cancellare i file di registro e disabilitare il monitoraggio cloud e altri strumenti di sicurezza, Microsoft sta avvertendo gli amministratori di abilitare le funzionalità di protezione antimanomissione di Defender for Endpoint.
Commenti degli analisti del Team di intelligence sulle minacce informatiche di Tanium
“Questa non è tecnicamente una nuova minaccia, ma piuttosto una versione aggiornata e più efficace di una esistente. Come suggerisce questa storia, Microsoft sta aumentando i suoi sforzi per portare consapevolezza al malware che prende di mira Linux - un'iniziativa CTI ritiene dovrebbe essere lodata. Per quanto riguarda l’arsenale aggiornato della banda 8220 , questo è l’output di un attore di minacce che è atterrato su una metodologia che si è dimostrata vincente, e quindi ha apparentemente trascorso l’ultimo anno aggiornando il suo malware e le tecniche di distribuzione in quello che CTI descriverebbe come un tentativo di aumentare ulteriormente i tassi di successo dei suoi attacchi.
Questo mostra un alto grado di dedizione ed è anche indicativo di un gruppo per il quale il cryptomining è una vera occupazione, al contrario di un lavoro secondario. 8220’s La crescente sofisticazione è un segno che i suoi metodi funzionano, poiché questo tipo di sviluppo richiede tempo, ma soprattutto risorse finanziarie. La linea di fondo è che 8220 è una minaccia emergente e dovrebbe essere trattata come tale.
Esplora la comunità Tanium
Le minacce informatiche sono in continua evoluzione, motivo per cui è importante rimanere aggiornati sugli ultimi sviluppi. E noi di Tanium ci impegniamo ad aiutarti a rimanere informato e preparato.
Assicurati di tornare presto per la nostra prossima raccolta di informazioni. Nel frattempo, puoi scoprire problemi emergenti di sicurezza informatica, annunci e forum di discussione sulla nostra community Tanium (si apre in una nuova scheda).
