Nella rassegna di questa settimana, CTI analizza un caso riguardante un utente esterno che ha inviato messaggi non richiesti Microsoft nelle chat di Teams a diversi dipendenti. Successivamente, CTI analizza un rapporto di Guardio Labs sull’evoluzione dell’ecosistema del phishing verso una maggiore democratizzazione. Infine, CTI conclude con un’analisi di un gruppo di ransomware noto come BianLian, che, in base ai dati raccolti dai siti di divulgazione, è rimasto nella classifica dei 10 gruppi più attivi.
1. Il malware DarkGate si diffonde tramite le chat di gruppo di Teams
Il team di Cybersecurity Managed Detection and Response (MDR) di AT&T ha recentemente collaborato con uno dei propri clienti in merito a un utente esterno che inviava messaggi non richiesti Microsoft e chat di Teams a diversi dipendenti dell’azienda.
AT&T (ora LevelBlue) ha accertato che l’autore dell’attacco fosse collegato al malware DarkGate di e che intendesse diffondere il malware ai membri dell’organizzazione tramite le chat di gruppo di Teams.
L'evento iniziale
L’indagine di AT&T è iniziata quando un cliente ha fornito uno screenshot in cui un soggetto esterno lo invitava a partecipare a una chat di gruppo su Microsoft Teams, all’indirizzo Microsoft, che il cliente riteneva fosse un tentativo di phishing da parte di .
Il dominio del mittente era “.onmicrosoft[.]com”, che a prima vista poteva sembrare legittimo ad alcuni utenti. Dalle ricerche condotte da AT&T su questo dominio non sono emerse segnalazioni di attività sospette. Di conseguenza, è probabile che il nome utente e/o l’intero dominio fossero già stati compromessi prima dell’attacco.
L'indagine
AT&T ha effettuato una ricerca del nome utente esterno all’interno dell’ambiente del proprio cliente e ha individuato oltre 1.000 eventi “MessageSent” in Teams di Microsoft generati da tale nome utente. Sebbene gli eventi non includessero gli ID dei destinatari, includevano invece l’ID utente dell’utente esterno.
A questo punto, hanno deciso di analizzare in particolare gli eventi “MemberAdded” per determinare quanti utenti si sono uniti a una chat con tale utente. AT&T è riuscita a identificare tre utenti che hanno avviato una chat con tale utente e hanno scaricato un file con doppia estensione denominato “Navigating Future Changes ottobre 2023.pdf.msi”.
AT&T ha ottenuto gli hash corrispondenti e li ha trasmessi al cliente affinché procedesse al loro blocco. Dopo aver eseguito il file dannoso in un ambiente sandbox, sono riusciti a osservare che esso stabiliva una connessione con un dominio precedentemente associato alle attività di DarkGate C2 .
Misura raccomandata
Per evitare che questo tipo di attacchi comprometta le operazioni, AT&T consiglia di disattivare l’accesso esterno all’interno di Teams di Microsoft , a meno che non sia necessario per le attività quotidiane.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo attacco è talmente semplice, eppure così efficace, che non c’è da stupirsi se in passato abbiamo visto hacker di “ ” utilizzare “ Microsoft Teams” per diffondere DarkGate . Non vi è alcun malware personalizzato complesso né alcun metodo di accesso articolato. Si basa semplicemente su tecniche di ingegneria sociale e sfrutta il livello di fiducia che i dipendenti ripongono nella loro piattaforma di comunicazione interna.
Se non altro, questo attacco ci ricorda che il phishing e l’ingegneria sociale non avvengono esclusivamente tramite e-mail e che dobbiamo prestare attenzione su tutte le piattaforme.
2. I marketplace di Telegram favoriscono gli attacchi di phishing
I ricercatori di Guardio Labs hanno recentemente illustrato come l’ecosistema del phishing si sia evoluto fino a diventare accessibile a tutti.
Tale evoluzione è in gran parte dovuta a Telegram e al modo in cui la piattaforma consente ai criminali informatici di procurarsi facilmente quanto necessario per sferrare un attacco — un’operazione che in precedenza era accessibile solo a chi operava nel dark web e attraverso le reti Tor Onion.
I mercati del phishing su Telegram
Guardio Labs ha analizzato in modo approfondito l’ecosistema del phishing su Telegram e ha ricreato una campagna dannosa per soli 230 dollari, al fine di dimostrare quanto sia semplice.
Poiché Telegram ospita numerosi canali e gruppi pubblici, a un criminale informatico basta una semplice ricerca per dare il via alle proprie attività; si tratta esattamente dello stesso tipo di truffa di phishing “ ” perpetrata da gruppi nordcoreani – anch’essa tramite Telegram – di cui abbiamo riferito lo scorso anno.
Individuazione di un sito di phishing
Guardio Labs ha iniziato a cercare su Telegram pagine fraudolente o di phishing da utilizzare come pagina di destinazione per il proprio attacco di phishing. Le pagine individuate su Telegram erano dotate di tecniche di anti-rilevamento e di offuscamento del codice, oltre che di altre tecniche opzionali quali l’autenticazione a più fattori (MFA) e il bypass di . Il prezzo di queste pagine variava da circa 10 dollari per una pagina semplice a 800 dollari o più per quelle realizzate con tecniche avanzate.
Dopo aver trovato un annuncio, hanno contattato il venditore e hanno negoziato il prezzo, portandolo a 30 dollari. Successivamente, dovevano trovare un luogo in cui ospitare la pagina. Hanno iniziato in modo semplice e hanno scelto di utilizzare un esempio gratuito di web shell proveniente da un sito WordPress compromesso casualmente, che avevano trovato in uno dei gruppi pubblici. Per garantire la persistenza, hanno sostituito la web shell con un proprio file protetto da password. Hanno quindi pubblicato la loro pagina.
Diffusione/comunicazione
Dopo aver creato il loro sito di phishing, dovevano inviare le relative e-mail di phishing. Molti dei metodi per farlo sono piuttosto costosi. Hanno deciso di avvalersi di una funzione di invio e-mail in PHP, poiché avevano a disposizione una serie di esempi gratuiti. Sono riusciti a individuare campioni che non erano mai stati utilizzati in precedenza e che, pertanto, non figuravano nella lista nera. Hanno scoperto di poter inviare circa 25.000 e-mail per ogni campione gratuito.
Disponendo di tre o quattro account di posta elettronica, potrebbero potenzialmente inviare circa 100.000 e-mail di phishing. Hanno quindi dovuto stabilire quale dovesse essere il contenuto delle e-mail per aggirare i filtri antispam e indurre i destinatari a cliccare sul link.
Contatti
Una volta predisposti la pagina di phishing e l’e-mail di phishing, dovevano stabilire a chi inviare le e-mail. Gli elenchi di indirizzi e-mail attivi vengono definiti “contatti potenziali”. Questi contatti sono talvolta disponibili gratuitamente, ma il loro prezzo varia a seconda del livello di dettaglio delle informazioni fornite. Sono riusciti a procurarsi un elenco di 100.000 clienti della Bank of America per soli 200 dollari tramite Telegram.
Simulazione dei ricavi
Guardio Labs ha formulato diverse ipotesi per elaborare la rappresentazione riportata di seguito. Hanno ipotizzato che, su 100.000 e-mail, avrebbero ottenuto le credenziali di 50 persone.
Tali dati relativi ai conti bancari potrebbero poi, ipoteticamente, essere rivenduti all’interno dell’ecosistema della criminalità informatica a un determinato prezzo. Formulando ulteriori ipotesi sul prezzo a cui potrebbero venderli, ritengono che una truffa di phishing simile potrebbe fruttare oltre $2.000 con una spesa iniziale di soli $230 .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Guardio Labs illustra in modo molto chiaro quanto sia semplice per i criminali informatici, indipendentemente dal loro livello di competenza, condurre campagne di phishing. La loro ricerca dimostra inoltre che anche i kit di phishing più semplici possono garantire un guadagno ai criminali informatici, il che induce a chiedersi quanto guadagnino effettivamente gli autori delle minacce grazie ad alcuni dei kit di phishing più sofisticati attualmente in circolazione.
L’aspetto forse più interessante dell’evoluzione dell’ecosistema del phishing è che tutto ciò che serve per sferrare un attacco è ormai di dominio pubblico, mentre un tempo era nascosto nei forum del dark web accessibili solo su invito.
3. BianLian si rivolge a diversi settori
Palo Alto sta monitorando un gruppo noto come BianLian, che continua a figurare nella classifica dei 10 gruppi di ransomware più attivi stilata dall’ sulla base dei dati raccolti dai siti di divulgazione.
La loro ricerca ha portato alla luce un piccolo strumento personalizzato utilizzato anche dal gruppo di ransomware Makop, il che indica un possibile collegamento tra le due operazioni.
Che cos’è BianLian?
BianLian è emerso nel 2022 e, sul proprio sito dedicato alle fughe di dati, annuncia nuove vittime quasi ogni settimana.
Il gruppo tende a concentrarsi sui settori della sanità, dell’industria manifatturiera, dei servizi professionali e dei servizi legali in Nord America, nell’Unione Europea e in India. BianLian è recentemente passata dalla doppia estorsione all’estorsione senza crittografia.
Si ritiene che l’attività sia in fase di espansione attiva, sulla base delle informazioni trapelate dal sito del gruppo, secondo cui sarebbero in corso assunzioni di nuovi sviluppatori e affiliati.
Il possibile collegamento tra BianLian e Makop
Nel corso di questa analisi, Palo Alto ha individuato un piccolo eseguibile personalizzato .NET. Questo file eseguibile è comune sia al gruppo di ransomware BianLian che a quello Makop, i quali hanno entrambi utilizzato lo stesso hash dello strumento Advanced Port Scanner, disponibile al pubblico.
Questo eseguibile personalizzato recupererà i dati relativi all'enumerazione dei file, al Registro di sistema e agli appunti e conterrà alcune parole in lingua russa. Sebbene la spiegazione di questa sovrapposizione non sia ancora stata confermata, ciò indica che i gruppi potrebbero disporre di una serie di strumenti in comune o avvalersi dei servizi degli stessi sviluppatori.
Analisi tecnica
- Palo Alto ha mappato le varie fasi di attacco al framework MITRE ATT&CK “ ” (). Per ottenere l’accesso iniziale, gli autori del ransomware ricorrono in genere a credenziali RDP rubate, sfruttano la vulnerabilità ProxyShell, prendono di mira i fornitori di VPN oppure utilizzano altre tecniche già segnalate in precedenza, come l’implementazione di web shell. Per quanto riguarda il dumping delle credenziali, il gruppo esporta l’hive del registro SAM in un file temporaneo.
- Passando alla fase di persistenza della catena di attacco, BianLian inserisce il proprio componente DLL backdoor e lo esegue tramite un’attività pianificata creata da Impacket. L'attività pianificata eseguirà periodicamente la DLL backdoor.
- L'operazione sfrutta lo stesso file "Advanced Port Scanner" utilizzato dall'operazione del ransomware Makop a fini di ricognizione. BianLian utilizzerà quindi due componenti principali per i payload finali — un programma di crittografia e una backdoor — prima di visualizzare la richiesta di riscatto. La backdoor funziona più come un loader che come una backdoor tradizionale ed è responsabile del download e dell’esecuzione di payload aggiuntivi.
- All’inizio del 2023 è stato rilasciato un programma di decrittografia per il programma di crittografia di BianLian. Ciò ha costretto il gruppo a interrompere gran parte delle proprie attività di crittografia e costituisce la ragione principale del suo passaggio a pratiche di estorsione senza crittografia.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
BianLian non è affatto così noto come altre operazioni di ransomware quali LockBit o BlackCat, ma rappresenta comunque una minaccia di rilievo.
L'operazione ha mantenuto una linea di condotta coerente sin dalla sua comparsa e ha reagito prontamente al rilascio di uno strumento di decrittazione, modificando di conseguenza l'intera struttura operativa.
Oltre alla loro adattabilità, la potenziale sovrapposizione con un’altra operazione di ransomware — sebbene non confermata — è un aspetto da tenere d’occhio.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
