Nella rassegna di questa settimana, CTI fornisce un aggiornamento sulla Sezione per la sicurezza nazionale informatica (NatSec Cyber), una nuova sezione dedicata al contenzioso all’interno della Divisione per la sicurezza nazionale del Dipartimento di Giustizia degli Stati Uniti. Successivamente, CTI analizza il modo in cui i criminali informatici sfruttano i bucket scaduti di Amazon Web Services (AWS ) S3 per distribuire codice dannoso. CTI esamina inoltre la campagna di spionaggio informatico denominata “RedClouds”, che prevede l’utilizzo di un malware personalizzato denominato RDStealer, progettato per sottrarre dati da unità condivise tramite connessioni desktop remote.
1. Il Dipartimento di Giustizia (DOJ) istituisce un’unità informatica per perseguire gli autori di minacce provenienti da Stati nazionali
Il Dipartimento di Giustizia ha recentemente istituito una nuova sezione dedicata alle azioni legali al fine di potenziare la propria capacità di individuare e contrastare gli attacchi informatici dolosi che minacciano la sicurezza nazionale. NatSec Cyber consente inoltre alla Divisione per la Sicurezza Nazionale (NSD) di perseguire gli autori di minacce provenienti da Stati-nazione con maggiore rapidità ed efficienza.
L’annuncio è stato dato in occasione di un comunicato stampa del Dipartimento di Giustizia (DoJ) , in cui lo sviluppo dell’unità informatica è stato descritto come una risposta diretta alle conclusioni principali contenute nella “” (Revisione completa in materia di sicurezza informatica) della viceprocuratrice generale Lisa O. Monaco, pubblicata il luglio 2022.
Da un articolo di SecurityWeek dedicato all'argomento:
Nel contrastare le crescenti minacce provenienti da aggressori legati a Stati nazionali, la NatSec Cyber rafforzerà inoltre la collaborazione intragovernativa tra la Sezione per i reati informatici e la proprietà intellettuale (CCIPS) della Divisione penale e la Divisione Cyber dell’FBI.
Interruzione, responsabilità e deterrenza
Come spiega il Dipartimento di Giustizia (DoJ) nella sua analisi sulla sicurezza informatica, le minacce nel cyberspazio si stanno evolvendo a una velocità senza precedenti. Per contrastare gli attacchi e assicurare alla giustizia gli autori delle minacce, il dipartimento deve agire con maggiore agilità. Il lancio di NatSec Cyber rappresenta l’ultima iniziativa intrapresa dal governo federale degli Stati Uniti per potenziare e ampliare il proprio impegno nella lotta contro le minacce informatiche in continua evoluzione.
Tra le altre unità e iniziative di supporto figurano:
- Istituzione del National Cryptocurrency Enforcement Team (NCET) nell’ambito della Divisione penale del Dipartimento, con il compito specifico di contrastare gli usi illeciti delle criptovalute.
- Lancio dell’Iniziativa contro le frodi informatiche in ambito civile (CCFI) da parte della Divisione civile del Dipartimento. Il CCFI si avvale dei poteri conferiti al Dipartimento ai sensi del False Claims Act per intentare azioni civili nei confronti dei beneficiari di sovvenzioni e degli appaltatori governativi — compresi quelli che hanno stipulato contratti con il Dipartimento di Giustizia — che non adempiono agli obblighi in materia di sicurezza informatica.
- Istituire un nuovo programma di formazione specialistica in materia di criminalità informatica all’interno del Dipartimento, al fine di formare una nuova generazione di pubblici ministeri e avvocati in grado di affrontare i nuovi fenomeni di criminalità informatica e le minacce alla sicurezza nazionale di natura informatica.
- Attuazione di ulteriori misure di sicurezza informatica volte a migliorare la sicurezza della posta elettronica del dipartimento. Tali misure comprendevano una formazione obbligatoria in materia di crittografia per il personale del dipartimento e ulteriori misure tecniche volte a garantire la protezione contro il phishing e le tecniche correlate.
La motivazione alla base dell’istituzione di questa nuova unità federale specializzata in materia di sicurezza informatica è chiaramente illustrata nel comunicato stampa del Dipartimento di Giustizia:
La Sezione per la sicurezza informatica nazionale rafforzerà la capacità del Dipartimento di Giustizia di contrastare e rispondere alle attività informatiche dannose, promuovendo al contempo collaborazioni a livello di Dipartimento e tra le diverse istituzioni governative per affrontare le minacce informatiche sempre più sofisticate e aggressive provenienti da Stati ostili. La Sezione rafforzerà la collaborazione tra i principali partner, in particolare la Sezione per i reati informatici e la proprietà intellettuale (CCIPS) della Divisione penale e la Divisione Cyber dell’FBI, e costituirà una preziosa risorsa per i pubblici ministeri delle 94 procure federali e dei 56 uffici locali dell’FBI presenti in tutto il Paese.
«Rispondere a minacce informatiche altamente tecniche richiede spesso tempo e risorse considerevoli», ha affermato il viceprocuratore generale Olsen. “NatSec Cyber fungerà da incubatore, in grado di dedicarsi al lavoro investigativo complesso e dispendioso in termini di tempo necessario per i casi in fase iniziale.
La costituzione di NatSec Cyber fa seguito ai recenti successi, ampiamente pubblicizzati, nell’“identificare, affrontare ed eliminare le minacce informatiche alla sicurezza nazionale, tra cui l’incriminazione di (si apre in una nuova scheda) un presunto criminale informatico responsabile di attacchi ransomware contro infrastrutture critiche degli Stati Uniti e [la] interruzione (si apre in una nuova scheda)[del] principale strumento di cyberspionaggio del governo russo”, come riportato nel comunicato stampa del Dipartimento di Giustizia.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«È incoraggiante constatare che il governo federale stia adottando misure concrete volte a istituire un’architettura nazionale completa per la sicurezza informatica. Sembra che l’FBI e il Dipartimento di Giustizia siano consapevoli della necessità di disporre di un’autorità giuridica che giustifichi le azioni di contrasto insolitamente audaci che hanno intrapreso negli ultimi mesi nei confronti di alcune delle entità sopra menzionate — e per di più in territorio straniero.
"Quel tipo di comportamento da 'sceriffo del Far West' non potrà protrarsi a lungo prima che qualche commissione di controllo del Congresso vi ponga fine." Sembra che il Dipartimento di Giustizia abbia compiuto il passo logico e proattivo di regolarizzare la situazione istituendo la "NatSec Cyber".
2. I criminali informatici utilizzano account " AWS " S3 scaduti per diffondere codice dannoso
Secondo Checkmarx, i criminali informatici stanno sfruttando , AWS , S3 buckets (si apre in una nuova scheda)e per distribuire codice dannoso e inserirlo in pacchetti legittimi presenti nel repository npm, senza dover modificare alcun codice.
Checkmarx ha avviato un'indagine sulla situazione in risposta a un avviso pubblicato alla fine del mese scorso dall' GitHub, riguardante diverse versioni di un pacchetto npm denominato bignum (si apre in una nuova scheda), che era stato strumentalizzato da soggetti malintenzionati e distribuiva file binari dannosi progettati per sottrarre informazioni sensibili degli utenti, quali ID utente, password e nomi host locali, dai dispositivi delle vittime.
Da Checkmarx:
L’ultima versione di “bignum”, la 0,13,1, è stata pubblicata più di 3 anni fa e non è mai stata compromessa. Tuttavia, diverse versioni precedenti lo erano. Le versioni 0,12,2-0,13,0 si basavano su file binari ospitati in un bucket S3 . Questi file binari verrebbero prelevati dal bucket al momento dell’installazione per garantire il corretto funzionamento del pacchetto. Circa 6 mesi fa, questo bucket è stato eliminato (le versioni che ne facevano uso erano per lo più in disuso).
Ciò ha reso l'azienda vulnerabile a un'acquisizione...
S3 Buckets: un ripasso
I S3 bucket sono risorse di AWS che consentono agli utenti di archiviare e recuperare enormi quantità di dati, tra cui file, documenti, video e altri tipi di contenuti digitali. Gli utenti accedono a S3 bucket dotati di URL univoci, il che li rende utili per una vasta gamma di scopi, dall’hosting di siti web e dal backup dei dati alla distribuzione dei dati, fino all’archiviazione e alla conservazione di applicazioni e contenuti.
Durante la fase iniziale dell’indagine condotta da Checkmarx, è emerso che il pacchetto npm “bignum” utilizzava “node-gyp” per scaricare un file binario .node durante la fase di installazione. Il file binario in questione era inizialmente ospitato in un bucket di AWS S3 . Se il bucket fosse inaccessibile, il pacchetto verrebbe indotto a cercare il file binario in locale.
Da Checkmarx:
Tuttavia, un aggressore non identificato ha notato l'improvviso abbandono di un bucket di AWS , un tempo attivo. Intuendo un’opportunità, l’aggressore si è impadronito del secchio abbandonato. Di conseguenza, ogni volta che bignum veniva scaricato o reinstallato, gli utenti scaricavano inconsapevolmente il file binario dannoso inserito dall’autore dell’attacco.
Com'è stato possibile? Sebbene ogni bucket di AWS S3 debba avere un nome univoco a livello globale, tale nome torna ad essere disponibile una volta eliminato il bucket. Se un pacchetto dovesse indicare un bucket come origine, tale riferimento continua a esistere, anche dopo la cancellazione di tale bucket. È proprio questa svista che ha consentito all’autore dell’attacco di reindirizzare il puntatore verso il bucket compromesso.
Il file binario contraffatto e le sue funzioni
La natura del file binario dannoso — ovvero un file binario compilato in C/C++ richiamato dalle applicazioni JavaScript — ha consentito ai moduli Node.js di accedere al codice di livello inferiore e, in ultima analisi, di ampliare la superficie di attacco.
Il file binario .node contraffatto funzionava in modo molto simile a quello autentico, con l’aggiunta di alcune funzionalità supplementari. Ad esempio, oltre a svolgere le funzioni del tutto innocue del file binario autentico, il file binario fraudolento è andato oltre, rubando le credenziali e inviandole allo stesso bucket AWS S3 , oggetto di dirottamento, citato in precedenza. I dati sono stati sottratti tramite una richiesta HTTP GET.
Approfondendo il metodo di comunicazione del programma binario, una volta completate le sue funzioni di raccolta dati, esso creerebbe un socket TCP destinato alla comunicazione IPv4 ed esfiltrerebbe in modo occulto i dati raccolti sotto forma di un user-agent associato a una richiesta GET.
Si delinea uno schema
A quanto pare, questa è stata la prima volta in cui un attacco di questo tipo è stato osservato e documentato. I ricercatori di Checkmarx hanno condotto una “ricerca rapida nell’ecosistema open source”, ottenendo risultati inaspettati.
Da Checkmarx:
Abbiamo individuato numerosi pacchetti e repository che utilizzano bucket S3 abbandonati, i quali sono vulnerabili a tale attacco. L'impatto di questo nuovo vettore di attacco può variare in modo significativo. Tuttavia, il pericolo che ne deriva può essere enorme qualora un malintenzionato riesca a sfruttarlo non appena si verifica questo tipo di cambiamento. Un ulteriore rischio riguarda le organizzazioni o gli sviluppatori che utilizzano versioni congelate o archivi di artefatti, poiché continueranno ad accedere allo stesso bucket, ora compromesso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«La scoperta di una nuova vulnerabilità nella catena di approvvigionamento del software open source, legata al dirottamento dei sottodomini, è significativa.»
"Sebbene negli ultimi tempi si sia parlato molto delle minacce che gravano sull’ Community e del software open source, una scoperta del genere dovrebbe fungere da campanello d’allarme sia per gli sviluppatori che per le organizzazioni per cui lavorano — e servire da promemoria del fatto che i criminali informatici continueranno a ideare nuovi modi per trasformare in armi software ampiamente utilizzati e affidabili, nonché i relativi codici sorgente."
Da Checkmarx:
Un bucket di hosting abbandonato o un sottodominio obsoleto non è solo un residuo dimenticato; nelle mani sbagliate, può trasformarsi in una potente arma per il furto di dati e le intrusioni.
3. Un nuovo malware di esfiltrazione prende di mira i carichi di lavoro RDP
Bitdefender ha individuato una nuova campagna di spionaggio informatico (si apre in una nuova scheda) , identificata con il nome di RedClouds. Sfrutta un malware personalizzato denominato RDStealer per sottrarre dati dalle unità condivise tramite connessioni desktop remote. La campagna malevola, che non è stata ancora attribuita a un autore specifico, prende di mira i sistemi dell’Asia orientale sin dal 2022.
RDStealer è un implant lato server che monitora le connessioni in entrata tramite il protocollo RDP (Remote Desktop Protocol) con la mappatura delle unità del client abilitata. Questi client che si connettono vengono quindi infettati dalla backdoor Logutil — un altro malware personalizzato — prima che i dati sensibili vengano sottratti.
Sia i campioni di malware RDStealer che quelli di Logutil analizzati da Bitdefender sono scritti nel linguaggio di programmazione Go. Questo linguaggio sta acquisendo sempre maggiore popolarità grazie al suo solido supporto multipiattaforma, che consente agli autori di minacce di creare più facilmente codice dannoso in grado di funzionare su diversi sistemi operativi. Nel corso dell’analisi dei domini collegati a tali attacchi, i ricercatori hanno rilevato numerosi riferimenti a Linux, ma anche a ESXi, il che indica che la backdoor Logutil è uno strumento multipiattaforma.
Analisi dettagliata dell'attacco
Dopo aver analizzato le informazioni relative all’ DNSe passiva, i campioni di VirusTotal e gli artefatti, Bitdefender ha stabilito che l’autore della minaccia è attivo almeno dal 2020. Inizialmente, l’autore dell’attacco si avvaleva di strumenti più facilmente reperibili, quali AsyncRAT e Cobalt Strike, prima di passare a malware sviluppato su misura tra la fine del 2021 e l’inizio del 2022.
Lo scopo principale dell’attacco sembra essere il furto di credenziali e l’esfiltrazione di dati. Gli autori delle minacce hanno utilizzato cartelle che raramente contengono malware e che, di conseguenza, vengono spesso escluse dalla scansione da parte degli strumenti di sicurezza:
- %WinDir%\System32\
- %WinDir%\System32\wbem\
- %WinDir%\security\database\
- %PROGRAM_FILES%\f-secure\psb\diagnostics
- %PROGRAM_FILES_x86%\dell\commandupdate\
- %PROGRAM_FILES%\dell\md storage software\md configuration utility\
È molto probabile che le posizioni %PROGRAM_FILES% e %PROGRAM_FILES_x86% siano state scelte dall'autore della minaccia per simulare la presenza di software legittimo. È stato inoltre rilevato del malware nella cartella %WinDir%\security\database, che funge da spazio di archiviazione per i database di sicurezza in Windows.
Microsoft ha fornito indicazioni su per impedire che determinati file presenti in questa posizione (si apre in una nuova scheda) vengano sottoposti a scansione da parte degli strumenti di sicurezza di endpoint . È possibile che l’autore dell’attacco abbia preso visione di queste linee guida e abbia ritenuto che alcune soluzioni di sicurezza avrebbero scelto di escludere l’intera cartella, anziché limitarsi a file specifici al suo interno.
Che cos’è RDStealer?
RDStealer è specializzato nella raccolta di dati attraverso tecniche quali l’acquisizione dei contenuti degli appunti e la registrazione dei tasti digitati. Il malware è inoltre in grado di monitorare le connessioni RDP in entrata e di compromettere un computer remoto qualora sia abilitata la mappatura delle unità client (CDM).
Il CDM è un canale virtuale implementato nell'ambito del protocollo RDP. Consente il trasferimento dei dati tra il client RDP e il server RDP. Ha il compito specifico di visualizzare le unità locali del computer client all’interno della sessione di desktop remoto.
Questa funzionalità consente agli utenti di accedere ai file e di trasferirli tra il computer locale e il server o il desktop remoto a cui sono connessi tramite RDP. Questo strumento viene comunemente utilizzato dagli amministratori per trasferire file. Il CDM viene inoltre utilizzato frequentemente dagli utenti finali comuni per i desktop virtuali e la virtualizzazione delle applicazioni.
Al momento non sono disponibili dettagli specifici riguardo al vettore di infezione iniziale, il che rende difficile confermare se il sistema compromesso sia stato utilizzato per ottenere accesso amministrativo o per interazioni con utenti regolari.
Sui computer compromessi, RDStealer è stato individuato nel percorso: %PROGRAM_FILES%\dell\md storage software\md configuration utility\modular disk service daemon[.]exe.
Una volta avviata, la funzione principale inizia a raccogliere i dati presenti negli appunti e i tasti premuti dall'host. I dati vengono salvati periodicamente nel file di log C:\users\public\log.log sotto forma di stringhe crittografate. Si crea quindi un ciclo infinito che richiamerà la funzione `diskMounted`. Questa funzione verifica periodicamente la disponibilità della connessione tsclient e di una delle unità C, D, E, F, G o H. Questi vengono creati automaticamente quando il CDM è abilitato.
Quando viene confermata la rilevazione di una di queste azioni, vengono attivate le seguenti funzioni:
- C2 comunicazione – notifyMaster: Questa funzione comunica al sistema di comando e controllo (C2) che un client è connesso. La funzione effettua una richiesta GET a un altro server designato come " proxy " per comunicare con l'infrastruttura C2 controllata dall'autore della minaccia.
- Esfiltrazione dei dati – DiskEnum: Questa funzione avvia l’esfiltrazione dei dati dal client RDP connesso. La funzione ricerca eventuali informazioni rilevanti sul client RDP connesso ai fini dell’esfiltrazione dei dati.
Il primo obiettivo è costituito da alcune cartelle specifiche che indicano che l’autore della minaccia sta cercando credenziali e connessioni salvate ad altri sistemi. La stessa tendenza si riscontra nella fase successiva, in cui viene eseguita una scansione del computer dell’utente alla ricerca di file con estensioni specifiche nelle seguenti posizioni: %AppData%, %LocalAppData%, Desktop, Documenti, Download, %ProgramFiles% e %ProgramFiles(x86)%.
I file individuati vengono archiviati in un file ZIP sull'host RDP. Dopo aver sottratto i dati dall'unità C remota, RDStealer inizia a esaminare le lettere di unità D, E, F, G e H, ma con un approccio leggermente diverso. Per queste unità, inizierà la scansione di tutte le cartelle, con poche eccezioni. Poiché questa scansione ricorsiva può richiedere un po’ di tempo, è previsto un meccanismo che ne limiterà l’esecuzione a una sola volta alla settimana. Il file users\public\Videos\vcache.dat viene modificato al termine dell’esfiltrazione dei dati e la data dell’ultima modifica viene confrontata con l’ora corrente per stabilire se sia giunto il momento di eseguire un’altra scansione del sistema.
- Compromissione a valle – WritePersist: Questa funzione installa la backdoor Logutil sul client RDP connesso. Estrae un elenco di utenti dal file tsclient\c\users.
- Logutil: La backdoor Logutil implementa le funzionalità necessarie per mantenere un punto d’appoggio nella rete. Ciò comprende operazioni quali il download e l’upload di file e l’esecuzione di comandi.
Ciò che rende interessante questa backdoor è la misura in cui sfrutta le tecniche di sideloading delle DLL, unite all’utilizzo di WMI come trigger per l’attivazione. Sebbene siano state osservate alcune tecniche tradizionali di sideloading delle DLL, è stata rilevata una variante più interessante che sfruttava Winmgmt, portando all’esecuzione del file binario dannoso bithostw[.]dll. A tal fine, gli autori dell'attacco hanno utilizzato un loader dannoso presente nella cartella wbem che imitava la libreria legittima ncobjapi.
L'impianto può essere attivato sia dal servizio WMI sia tramite il processo host WMI. Logutil può comunicare con l'infrastruttura C2 direttamente oppure tramite un altro server proxy presente sulla stessa rete. Un elenco completo dei comandi che è in grado di recuperare dal server C2 è disponibile nella ricerca di Bitdefender, consultabile qui.
Attribuzione
Nonostante i vari metodi utilizzati da Bitdefender, non è stato possibile attribuire tali attacchi a un autore specifico. Ritengono tuttavia che gli interessi dell’autore dell’attacco siano in linea con quelli della Cina e che esso presenti la sofisticatezza tipica di un APT sponsorizzato dallo Stato.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Questa campagna utilizza cartelle denominate ‘ Microsoft ’ e ‘ Windows ’, che potrebbero essere escluse dalla scansione da parte di alcuni software di sicurezza. Gli autori delle minacce utilizzano intenzionalmente queste cartelle per archiviare i payload delle backdoor, consapevoli che in tal modo potrebbero riuscire a persistere nella rete senza essere individuati per un periodo più lungo."
"La ricerca condotta da Bitdefender ha inoltre rivelato che questo autore di minacce è passato dall’utilizzo di strumenti già disponibili alla creazione e all’impiego di malware personalizzato, come RDStealer e Logutil. Ciò evidenzia la crescente sofisticazione di questo attore malintenzionato negli ultimi anni.”
Ha qualche riflessione su queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
