Nel presente rapporto analizziamo in che modo una minaccia persistente avanzata (APT) di lingua cinese stia conducendo attacchi contro i sistemi di controllo industriale (ICS) sfruttando una variante aggiornata della backdoor ShadowPad. Inoltre, il collettivo di hacktivisti DragonForce sostiene di stare abbandonando l’attivismo per orientarsi verso la criminalità informatica, principalmente attraverso l’utilizzo di ransomware.
Infine, Microsoft segnala ora importanti potenziamenti dell’arsenale del gruppo 8220 , che sostengono le attività di furto di criptovalute del gruppo e stanno sfruttando attivamente una vulnerabilità di Confluence.
Diamo un’occhiata più da vicino a queste vicende in evoluzione.
1. Un gruppo APT presumibilmente cinese utilizza ShadowPad per attaccare i sistemi di controllo industriale
Un nuovo rapporto di Kaspersky, intitolato “ ” ( ) (si apre in una nuova scheda) , descrive una campagna in corso che sfrutta la backdoor ShadowPad in attacchi mirati a diversi sistemi di controllo industriale (ICS) appartenenti a entità del settore delle telecomunicazioni in Medio Oriente. Questa ondata di attacchi, che prende di mira in particolare i computer di controllo nei sistemi di automazione degli edifici (BAS), ha avuto inizio a metà delottobre 2021.
Nel corso delle indagini relative alla campagna, i ricercatori hanno rinvenuto prove di un’attività su scala più ampia e hanno individuato ulteriori vittime. Inoltre, Kaspersky sostiene che la campagna sia simile agli attacchi sferrati da marzo 2021 , che hanno visto il coinvolgimento di una versione precedente della backdoor ShadowPad, nonché all’impiego di un insieme analogo di tattiche, tecniche e procedure (TTP) messe in atto contro organizzazioni operanti nel settore della logistica e dei trasporti in un porto della Malesia.
Punti chiave
- Alcune delle organizzazioni prese di mira sono vittime della vulnerabilità “ CVE-2021-26855 ” (si apre in una nuova scheda) in Microsoft Exchange.
- Da marzo almeno fino al ottobre 2021, la backdoor ShadowPad veniva scaricata sui computer delle vittime sotto forma di file mscoree.dll, avviato da AppLaunch.exe – un’applicazione legittima eseguita tramite la creazione di un’attività nell’ Windows Task Scheduler.
- Successivamente, gli autori dell’attacco hanno lanciato ShadowPad ricorrendo al DLL hijacking all’interno di un’applicazione legittima per la visualizzazione di oggetti OLE-COM (OleView).
- Dopo l’infezione iniziale, gli autori dell’attacco hanno inviato comandi prima manualmente, poi in modo automatico.
- Gli autori dell'attacco hanno utilizzato domini registrati presso NameSilo, GoDaddy.com ed ENOM per comunicare con i server di comando e controllo (C2). La maggior parte dei C2 server era ospitata su server dedicati noleggiati dal fornitore di servizi gestiti (MSP) Choopa.
Kaspersky sostiene che il gruppo abbia utilizzato ulteriori strumenti nel corso della campagna. Tra questi figurano il sempre popolare framework Cobalt Strike, che hanno scaricato sui computer delle vittime utilizzando l’utilità certutil.exe, web shell aspx compilate e gli strumenti procdump e Mimikatz. Tra gli altri strumenti che gli autori degli attacchi hanno utilizzato figurano la backdoor PlugX, i file BAT per il furto di credenziali, le web shell per ottenere l’accesso remoto al server web e l’utilità Nextnet per la scansione degli host di rete.
L'attività successiva allo sfruttamento consiste nella distribuzione di uno script dannoso per cmd.exe sulle reti delle vittime. Lo script è stato aggiunto al programma di pianificazione delle attività per garantirne l'esecuzione giornaliera. All’interno dello script sono presenti diversi comandi, ma il suo obiettivo generale è quello di raccogliere informazioni sul sistema e sugli utenti, copiare i file e prepararli per l’esfiltrazione, montare unità di rete utilizzando account di dominio legittimi (prova del fatto che gli autori dell’attacco abbiano sottratto le credenziali di autenticazione di dominio da almeno un account in ciascuna organizzazione attaccata), avviare lo strumento di estrazione delle credenziali Mimikatz e altro ancora. Kaspersky sostiene che quest’ultima parte della strategia TTP degli autori degli attacchi sia unica e avvalori ulteriormente le affermazioni dei ricercatori riguardo al coinvolgimento dello Stato cinese.
ShadowPad: una breve panoramica
ShadowPad è un trojan di accesso remoto (RAT) modulare e avanzato che diversi gruppi di hacker cinesi hanno utilizzato – e continuano a utilizzare – per sferrare attacchi contro reti private. ShadowPad è apparso per la prima volta nel 2017 e rimane tuttora un meccanismo di attacco molto diffuso.
Nell’ambito della campagna sopra citata, la backdoor ShadowPad è stata scaricata sui computer presi di mira sotto le spoglie del file mscoree.dll, che veniva avviato dall’applicazione legittima AppLaunch.exe, situata nella stessa cartella di ShadowPad. Il file AppLaunch.exe è stato eseguito creando un'attività nell' Windows .
Nuova metodologia: come già menzionato in precedenza, Kaspersky sostiene che, a partire da circa la metà delottobre 2021, gli autori degli attacchi stiano utilizzando una nuova e originale strategia di diffusione di ShadowPad e una nuova versione del malware per prendere di mira le stesse tipologie di organizzazioni. Anziché utilizzare mscoree.dll, gli autori degli attacchi ricorrono ora alla tecnica del “DLL hijacking”, sfruttando in modo improprio un software legittimo per la visualizzazione di oggetti OLE-COM (OleView).
L'applicazione legittima OleView scarica la libreria dannosa IVIEWERS.dll, la quale a sua volta scarica ed esegue il payload ShadowPad contenuto nel file IVIEWERS.dll.dat. Anche la nuova versione di ShadowPad ha utilizzato il Task Scheduler di Windows per ottenere e mantenere un punto d’appoggio nei sistemi presi di mira.
Un’analisi più approfondita delle modifiche apportate alla nuova variante di ShadowPad è contenuta in un recente rapporto intitolato “ ” pubblicato da PwC. (si apre in una nuova scheda)
Commenti degli analisti del Cyber Threat Intelligence Team di Tanium'
«La comparsa di una nuova variante di ShadowPad è preoccupante, poiché in passato è stata utilizzata con un certo successo da vari gruppi APT cinesi e si è dimostrata una risorsa affidabile per gli autori di minacce che intendono sferrare attacchi alla catena di approvvigionamento.» CTI ritiene che Kaspersky abbia perfettamente ragione riguardo alle proprie affermazioni in materia di attribuzione (sebbene ShadowPad sia stato utilizzato nel corso degli anni da una serie di APT sponsorizzate dallo Stato), poiché sia le regioni prese di mira sia il profilo delle vittime emerso da questi attacchi sono in linea con i tradizionali interessi dello Stato cinese e costituiscono vittime ricorrenti degli attacchi di spionaggio informatico sostenuti dal regime.
Si ritiene che ShadowPad sia stato sviluppato da soggetti malintenzionati affiliati al gruppo APT cinese Bronze Atlas e successivamente condiviso con il Ministero della Sicurezza di Stato cinese (MSS) e con l’Esercito Popolare di Liberazione (PLA) – e, per estensione, con i loro numerosi hacker affiliati.”
2. Il gruppo di hacktivisti DragonForce Malaysia rilascia un exploit LPE per Windows , rivelando l’intenzione di trasformarsi in un gruppo di ransomware
Un recente articolo sull’intelligence delle minacce pubblicato da CloudSEK (si apre in una nuova scheda) descrive in dettaglio un nuovo exploit del gruppo di hacktivisti DragonForce Malaysia, in grado di eseguire l’escalation dei privilegi locali (LPE) sui server Windows e di eseguire operazioni sui router di distribuzione locali (LDR) sui server con sede in India.
Chi sono i DragonForce Malaysia?
DragonForce è un gruppo di hacktivisti con sede in Malesia che un tempo era considerato paragonabile alla più nota organizzazione Anonymous. Questo collettivo di hacktivisti si è persino definito un gruppo «fondato su valori etici e principi che promuovono il bene» e gestisce canali sui social media che attraggono decine di migliaia di visitatori.
L'operazione è nota per aver sferrato attacchi contro organizzazioni ed enti governativi in tutto il Medio Oriente e in Asia. L’obiettivo preferito di DragonForce è Israele, come dimostra il fatto che abbia lanciato numerose operazioni contro la nazione e i suoi cittadini. Il gruppo possiede e gestisce inoltre un forum online dove pubblica annunci, discute delle proprie attività più recenti e conduce campagne di reclutamento e promozionali utilizzando TikTok e Instagram.
Attività degna di nota
La campagna più recente dell’operazione, denominata OpsPatuk, ha colpito l’India con un’ondata di attacchi in risposta alle dichiarazioni controverse rilasciate da alcuni politici indiani. , di Radware, ha pubblicato un avviso (si apre in una nuova scheda) in cui vengono descritti in dettaglio la campagna, le vulnerabilità sfruttate, gli indicatori di compromissione (IOC) e gli ulteriori gruppi di minaccia identificati coinvolti nella campagna.
DragonForce, come molti gruppi di hacktivisti, è noto per collaborare con altre bande di criminali informatici al fine di raggiungere i propri obiettivi. Il gruppo ha seguito le orme di altri hacktivisti, tornando alla ribalta durante il conflitto tra Russia e Ucraina.
Storicamente, DragonForce ha fatto ricorso a strumenti di attacco disponibili al pubblico per condurre le proprie campagne. Il passaggio del gruppo a strumenti di attacco non disponibili al pubblico segna un significativo allontanamento dai suoi metodi abituali – e forse indica un certo miglioramento nella sofisticazione tecnica del gruppo. Tuttavia, tale crescita non sembra estendersi alle scelte del gruppo in materia di sicurezza operativa (OPSEC).
I DragonForce hanno recentemente pubblicato un video in cui descrivono nei dettagli la loro ultima vulnerabilità, attribuendone lo sviluppo a un autore di minacce denominato “ ‘impossible1337”. L'exploit è stato progettato per sfruttare le vulnerabilità LPE e LDR del server Windows , ma ulteriori informazioni tecniche relative all'exploit non sono ancora disponibili al pubblico.
Il video cambia poi direzione, mentre l’autore dell’attacco illustra nei dettagli il proprio piano di trasformarsi in un gruppo di ransomware, arrivando persino a mostrare in anteprima un esempio di richiesta di riscatto per dimostrare la serietà delle proprie intenzioni. A seguito della pubblicazione del video, il gruppo ha pubblicato un post sul proprio sito web in cui ribadiva il proprio intento di condurre attacchi ransomware su larga scala.
Commenti degli analisti del Cyber Threat Intelligence Team di Tanium'
«L’aspetto più degno di nota di questa vicenda è il fatto che un gruppo di hacktivisti stia sviluppando autonomamente i propri exploit e stia compiendo il passaggio dall’hacktivismo al ransomware – prova di una decisione consapevole di passare alla criminalità a scopo di lucro.» Questo cambiamento è significativo, poiché la maggior parte degli hacktivisti cerca almeno di mantenere un’immagine che trasmetta una missione animata da buone intenzioni; e di solito non rende pubblico alcun desiderio di ottenere denaro in modo illegale attraverso la criminalità informatica.
Questo cambiamento nelle motivazioni di DragonForce potrebbe costituire un’ulteriore prova del fatto che l’incredibile (e crescente) quantità di denaro generata dal settore del ransomware stia diventando troppo difficile da ignorare, persino per coloro che all’inizio professavano di voler “fare del bene” al mondo, come un tempo sosteneva DragonForce.
È inoltre interessante notare che il gruppo abbia pubblicato un video in cui illustra nei dettagli il suo ultimo exploit, annunciando al contempo l’intenzione di passare al ransomware. Considerando che questo gruppo è stato molto chiaro riguardo alle proprie vittime designate, ha di fatto fornito ai propri bersagli (così come alle forze dell’ordine) un “avvertimento” su ciò che dovranno aspettarsi da loro in futuro. In questo caso, DragonForce offre alle potenziali vittime la possibilità di applicare le patch ai server Windows prima che si verifichi un potenziale attacco LPE o LDR di tipo “ Windows ”.
3. Microsoft avverte: il malware “ Linux” ha ricevuto un importante aggiornamento
Il Threat Intelligence Center di Microsoft (MSTIC) ha pubblicato una serie di tweet (si apre in una nuova scheda) in cui vengono evidenziati importanti aggiornamenti relativi alle TTP associate alla banda 8200 , un attore malintenzionato responsabile di una campagna malware di lunga durata che prende di mira i sistemi Linux .
Il thread “ Twitter ” descrive le recenti attività della campagna e gli aggiornamenti relativi alle TTP dell’autore della minaccia e si conclude con gli indicatori di compromissione (IOC) associati agli ultimi 8220’s attacchi, il cui obiettivo sembra essere di natura finanziaria, poiché comportano il cryptomining.
Chi è la banda dei 8220 ?
Il gruppo “ 8220 ” è un attore malintenzionato di lingua cinese specializzato nel mining di Monero, individuato per la prima volta nel 2017. Il nome “ ‘8220’ ” si riferisce alla preferenza dell’attore di utilizzare la porta 8220 per le sue comunicazioni C2 .
Questo gruppo è noto per infettare gli host utilizzando servizi cloud comuni, avvalendosi di un miner personalizzato e di un bot IRC (Internet Relay Chat) a supporto di ulteriori attacchi e per ottenere l’accesso remoto alle vittime. Analizzando la loro attività più recente, sembra che questa sia stata la metodologia che si è rivelata più efficace, poiché il gruppo 8220 ha apparentemente deciso di continuare ad adottare tattiche, tecniche e procedure (TTP) simili fino ad oggi.
Atlassian ha reso noto un bug critico che interessa i propri prodotti Confluence Server e Data Center (codice di tracciamento CVE-2022-26134) sul sito 2 giugno 2022. Nel giro di una settimana, la società di sicurezza Check Point ha individuato la banda “ 8220 ” tra i pochi soggetti malintenzionati che sfruttavano la vulnerabilità zero-day per scaricare software di cryptomining. Ciò è stato dimostrato dalle scoperte effettuate dai ricercatori di Check Point, i quali, nel corso di un’indagine, sono riusciti a estrarre da un sistema infetto un dominio e un portafoglio di criptovalute precedentemente collegati a 8220.
MSTIC riferisce che nell’ultimo anno il gruppo ha aggiornato attivamente le proprie tecniche e i propri payload. La sua recente campagna prende di mira i sistemi i686 e x86_64 Linux e utilizza exploit RCE per CVE-2022-26134 (Confluence) e CVE-2019-2725 (WebLogic) al fine di ottenere l’accesso iniziale.
Punti chiave
Secondo quanto riferito, gli aggiornamenti relativi a 8220 TTP e strumenti includono quanto segue:
- Nuova variante di cryptominer
- Nuovo bot IRC
- Utilizzo di un exploit relativo a una vulnerabilità recentemente resa nota (CVE-2022-26134)
- Utilizzo di un loader dotato di funzionalità di elusione dei sistemi di rilevamento, che scarica l’ultima variante del cryptominer pwnRig e il bot IRC sopra menzionato, il quale esegue comandi provenienti da un server C2 . Il programma di caricamento può sopravvivere ai riavvii creando un'attività pianificata tramite un cron job o uno script che viene eseguito ogni minuto come comando nohup (no hangup).
Secondo Microsoft, dopo che la banda 8220 ottiene l’accesso iniziale tramite CVE-2022-26134, scarica nel sistema il suddetto loader, il quale modifica poi le configurazioni dell’host per disabilitare i servizi di sicurezza, scarica un cryptominer, garantisce la persistenza sulla rete di destinazione e infine esegue una scansione della rete (utilizzando lo strumento di scansione delle porte MASSCAN) per individuare altri server potenzialmente vulnerabili.
La propagazione viene effettuata con l'ausilio di Spirit, uno strumento di attacco brute force SSH basato su GoLang. Il loader esegue inoltre una scansione del disco locale alla ricerca di chiavi SSH con cui l’autore dell’attacco potrebbe potenzialmente effettuare movimenti laterali collegandosi a host affidabili.
Poiché il loader è in grado di cancellare i file di log e di disattivare il monitoraggio cloud e altri strumenti di sicurezza, Microsoft avverte gli amministratori di abilitare le funzionalità di protezione contro le manomissioni di Defender for Endpoint.
Commenti degli analisti del Cyber Threat Intelligence Team di Tanium'
«Tecnicamente non si tratta di una nuova minaccia, bensì di una versione aggiornata e più efficace di una minaccia già esistente. Come emerge da questa notizia, Microsoft sta intensificando i propri sforzi per sensibilizzare l’opinione pubblica sul malware mirato Linux— un’iniziativa che, a giudizio di CTI, merita di essere lodata. Per quanto riguarda l’arsenale aggiornato della banda 8220 , si tratta del risultato dell’operato di un attore malintenzionato che ha individuato una metodologia che si è rivelata efficace e che, di conseguenza, sembra aver dedicato l’ultimo anno ad aggiornare il proprio malware e le proprie tecniche di distribuzione, in quello che il CTI definirebbe un tentativo di aumentare ulteriormente il tasso di successo dei propri attacchi.
This shows a high degree of dedication and is also indicative of a group for which cryptomining is a true occupation, as opposed to a side gig. 8220’s increasing sophistication is a sign that its methods are working, as this kind of development takes time, but more importantly, financial resources. In conclusione, il 8220 rappresenta una minaccia emergente e dovrebbe essere trattato come tale.”
Scoprite la comunità “ Tanium ”
Le minacce informatiche sono in continua evoluzione; per questo motivo è importante tenersi aggiornati sugli ultimi sviluppi. E qui su Tanium ci impegniamo ad aiutarvi a rimanere informati e preparati.
Non dimenticate di tornare presto a consultare la nostra prossima rassegna di notizie di intelligence. Nel frattempo, potete scoprire le questioni emergenti in materia di sicurezza informatica, gli annunci e i forum di discussione sul nostro sito , sulla nostra community Tanium, sul sito (si apre in una nuova scheda), sue su .
