Il primo argomento trattato nell’ultima edizione del CTI Roundup è un’analisi della recrudescenza del famigerato malware Emotet e della sua botnet, a seguito del 2021 ° intervento di smantellamento da parte delle forze dell’ordine internazionali. Successivamente, analizzeremo i vari modi in cui gli autori del malware IcedID stanno sperimentando diverse tattiche di diffusione. Infine, concludiamo con una sintesi delle recenti segnalazioni di Cisco Talos, che descrivono in dettaglio la scoperta di una nuova piattaforma di attacco che utilizza lo strumento Alchimist C2 e il nuovo malware Insekt.
1. Il malware Emotet è tornato sotto i riflettori
Un nuovo rapporto pubblicato su VMware sostiene che gli autori delle minacce responsabili della botnet Emotet, utilizzata per la diffusione di malware , abbiano riavviato la famigerata offerta di malware-as-a-service (MaaS) dotandola di avanzate capacità di elusione e di altre funzionalità.
La ricomparsa del malware, osservata dai ricercatori a partire dal mese di gennaio del 2022 , in seguito all’operazione coordinata di smantellamento di Emotet all’inizio del 2021 da parte delle forze dell’ordine internazionali, segnala il suo ritorno sulla scena sotto forma di una minaccia globale persistente, forte dell’esperienza acquisita nella sua battaglia contro le autorità.
Tra gli altri aspetti degni di nota, la ricerca di “ VMware” mette in evidenza i miglioramenti tecnologici apportati da Emotet a seguito del periodo di inattività forzata. Tra questi figurano:
- Infrastrutture migliori
- Migliori contromisure anti-analisi
- Capacità di supportare diversi obiettivi di attacco
- Modelli di attacco in continua evoluzione
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“È da un po’ che Emotet non fa più notizia. Sebbene la maggior parte delle attività analizzate dall’Unità di analisi delle minacce di VMware sia stata rilevata a partire dall’inizio del 2022, non si dovrebbe sottovalutare l’importanza della recrudescenza di Emotet. Se la costituzione di una task force internazionale composta da diverse forze dell’ordine di tutto il mondo, con l’unico obiettivo di smantellare Emotet e la sua botnet, non fosse già una prova del suo status di minaccia informatica globale, il fatto che sia sopravvissuta agli sforzi della task force e sia tornata più forte — e più elusiva che mai — lo è sicuramente."
"L'account Twitter di ESET Research ha recentemente pubblicato un thread in cui l'autore ha riconosciuto che il tweet rappresentava il primo aggiornamento dell'azienda su Emotet dopo tre mesi di inattività. Il thread contiene nuovi indicatori di compromissione relativi a uno dei moduli aggiornati di Emotet. Non è chiaro se Emotet sia rimasto inattivo per tutto il tempo che il settore sembra ritenere. È possibile che i suoi gestori non stessero sferrando attacchi costanti, anche se, visti i numerosi progressi compiuti nelle sue capacità di elusione, molto probabilmente erano impegnati ad aggiornare il proprio prodotto.”
#ULTIME NOTIZIE Un’altra giornata su #ESETresearch, un’altra #Emotet campagna con una nuova tecnica. Anziché le consuete macro di Office, gli operatori utilizzano il file “ PowerShell ” in allegati LNK, con il nome “form.lnk”. Se la vittima esegue il file, il file binario di Emotet (.DLL) viene scaricato ed eseguito. 1/4
2. Gli hacker responsabili degli attacchi con il malware IcedID diversificano le loro tattiche di diffusione
Secondo Team Cymru, gli autori delle campagne di phishing basate sul malware IcedID, denominate “ ” ( ), stanno ora ricorrendo a un’ampia gamma di metodi di distribuzione.
Sono state osservate diverse campagne recenti di IcedID che utilizzano vie di infezione leggermente diverse; secondo i ricercatori, ciò rappresenta un tentativo da parte degli autori delle minacce di individuare quale metodo risulti più efficace nei confronti dei diversi obiettivi.
Che cos’è la famiglia di malware IcedID?
Il malware IcedID, noto anche come BokBot, è stato individuato per la prima volta all’inizio del 2017 come semplice trojan bancario. Il malware si è successivamente evoluto, come spesso accade a questo tipo di malware, acquisendo funzionalità di distribuzione che gli consentono di scaricare e installare ulteriori payload dannosi. IcedID viene solitamente diffuso tramite campagne di phishing del tipo “ ” oppure viene rilasciato come payload secondario da altri malware, in particolare da Emotet.
Le recenti campagne di IcedID si avvalgono di una vasta gamma di diversi tipi di esche e modalità di esecuzione. I ricercatori di Team Cymru hanno messo a confronto le diverse campagne (tutte risalenti a settembre 2022) nel tentativo di comprendere quali metriche gli autori delle minacce possano cercare di raccogliere essi stessi — ovvero, quali metodi offrano il maggiore rendimento o funzionino meglio in ciascuna campagna.
In che modo viene diffuso il malware IcedID?
Tra le campagne analizzate in “ settembre 2022”, sono stati osservati diversi metodi di diffusione del malware, tra cui:
- File ZIP protetto da password contenente un file LNK
- File ZIP protetto da password senza file LNK
- Maldoc
- PrivateLoader
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Il Team Cymru ha osservato che le campagne presentavano numerosi errori grammaticali, il che ha determinato un numero inferiore di vittime. Tale osservazione costituisce un’ulteriore prova del valore offerto da solidi programmi di formazione e sensibilizzazione sul phishing, che insegnano agli utenti a riconoscere tali indicatori di inautenticità nelle e-mail, dimostrando che tali conoscenze possono rendere i destinatari molto meno inclini a cadere vittime delle campagne di phishing.”
"L'altro aspetto della questione è che anche gli autori delle minacce si rendono conto di questo, da qui la decisione, da parte di molti degli autori più esperti, di diversificare i metodi di diffusione in un breve lasso di tempo e di valutarne l'efficacia."
"I ricercatori ritengono che la sequenza "file zip → file iso → file lnk" sia stata il metodo di diffusione più efficace sperimentato dagli autori dell'attacco." È forse questo il metodo su cui gli autori delle minacce faranno maggiormente affidamento d’ora in poi per diffondere il malware IcedID? Forse. Oppure forse tenteranno qualcosa di completamente diverso per cogliere di sorpresa i ricercatori e i professionisti della sicurezza. Il tempo lo dirà, ma non sarebbe sorprendente se si verificasse quest’ultimo scenario."
"L'unica domanda che resta da porsi è questa: cosa impareremo da tutto ciò e come lo metteremo a frutto?"
3. Il nuovo framework di attacco “Alchimist” prende di mira “ Windows”, macOS e “ Linux”
Un recente rapporto di Cisco Talos descrive in dettaglio la scoperta di una nuova piattaforma di attacco, che comprende uno strumento di comando e controllo di tipo “ ” (C2) denominato Alchimist e un nuovo malware denominato Insekt.
Il framework onnicomprensivo viene attualmente utilizzato in modo attivo in attacchi rivolti a sistemi Windows, macOS e Linux . Questa scoperta arriva a pochi mesi dalla scoperta del framework Manjusaka, che, come hanno osservato i ricercatori, presenta somiglianze con Alchimist.
Che cos’è Alchimist?
Alchimist è un eseguibile Linux a 64 bit scritto nel sempre popolare linguaggio GoLang. Alchimist C2 dispone di un'interfaccia web redatta in cinese semplificato ed è in grado di generare un payload configurato, stabilire sessioni remote, distribuire payload alle macchine remote, acquisire schermate, eseguire shellcode in remoto ed eseguire comandi arbitrari.
Informazioni sull’impianto Insekt
Insekt è un implant a 64 bit scritto in GoLang, compilato per gli ambienti Windows e Linux , dotato di numerose funzionalità RAT, tutte gestite dal server Alchimist C2 . L'impianto configura diversi gestori per sette funzionalità principali:
- Ottenere le dimensioni dei file.
- Ottenere informazioni sul sistema operativo.
- Eseguire comandi arbitrari tramite cmd[.]exe.
- Aggiornate l'attuale impianto Insekt.
- Eseguire comandi arbitrari come utente diverso.
- Dormire per periodi di tempo stabiliti dal C2.
- Attivare/disattivare la funzione di cattura schermo.
Insekt dispone di altre funzionalità, quali l’esecuzione di shellcode, la scansione di porte e indirizzi IP, la manipolazione delle chiavi SSH, l’utilizzo di connessioni proxy, ecc. La variante “ Linux ” di Insekt è in grado di elencare il contenuto della directory “.ssh” presente nella directory home della vittima e di aggiungere nuove chiavi SSH, in modo che l’autore dell’attacco possa comunicare con il computer della vittima dalla porta C2 tramite SSH. Insekt comprende un modulo in grado di eseguire i diversi comandi che possono essere impartiti dagli operatori e un modulo in grado di eseguire azioni RAT specifiche sull’ endpoint infettato.
Ulteriori strumenti da tenere presenti
Cisco Talos ha evidenziato alcuni altri strumenti finalizzati all’elevazione dei privilegi e al successivo sfruttamento delle piattaforme MacOSX. Il codice sorgente di due di questi strumenti è disponibile all’indirizzo GitHub, tra cui Fast reverse proxy (frp), utilizzato per l’esfiltrazione dei dati, e Fscan, uno strumento di scansione della rete intranet.
- Vulnerabilità di MacOSX: Il file Mach-O rinvenuto nella directory aperta è un altro eseguibile GoLang che contiene un exploit e una backdoor di tipo bind shell. Il dropper sfrutta una vulnerabilità nell’utilità pkexec di polkit che consente l’escalation dei privilegi. Tuttavia, questa utility non è installata di default su MacOSX , il che significa che l’escalation dei privilegi non è garantita.
- Scriptlet: Alchimist è inoltre in grado di generare script da utilizzare nella prima fase delle infezioni. Uno degli script individuati dai ricercatori era denominato “down[.]sct” e serviva a scaricare l’impianto Insekt da un determinato indirizzo URL.
- Shellcode: I ricercatori hanno individuato uno shellcode Meterpreter in un file denominato “shell[.]msi”. Contiene la configurazione dannosa con i dettagli relativi all’host e alla porta necessari affinché il codice shell si connetta a un indirizzo IP specifico.
Alchimist presenta alcune analogie con Manjusaka, un altro framework di attacco
Cisco Talos ha individuato un server autonomo denominato C2 , che gli autori chiamano “Alchimist”, e i relativi implant, che gli autori definiscono “famiglia Insekt RAT”. E solo pochi mesi fa, Cisco Talos ha scoperto un altro framework autonomo denominato Manjusaka. Entrambi i framework, sebbene implementati in modi diversi, seguono la stessa filosofia progettuale generale e sembrano presentare lo stesso elenco di requisiti. I framework sono stati progettati e implementati per funzionare come eseguibili autonomi basati su GoLang, che possono essere distribuiti con relativa facilità; entrambi utilizzano un’interfaccia web in cinese semplificato ed entrambi fanno riferimento al protocollo SNI ( ), poco diffuso.
Le differenze più significative tra Manjusaka e Alchimist risiedono nell’approccio adottato per l’implementazione dell’interfaccia utente web e nel modo in cui viene implementata la funzionalità del file unico. Gli sviluppatori di Manjusaka si avvalgono del framework web Gin e, nell’ambito dell’ , utilizzano packr, un framework per il raggruppamento delle risorse, al fine di incorporare e archiviare gli impianti. Gli autori di Alchimist hanno adottato un approccio più essenziale, avvalendosi esclusivamente delle funzionalità di base di GoLang per implementare le stesse funzionalità.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Le numerose somiglianze tra Manjusaka e Alchimist, insieme al breve lasso di tempo intercorso tra la nascita di ciascun framework, potrebbero indicare una nuova tendenza, ovvero l’utilizzo di framework “ C2 ” completi o pronti all’uso.»
"Questi framework risultano allettanti per i criminali informatici in quanto possono essere utilizzati per un'ampia gamma di funzioni, tra cui sia l'amministrazione remota che il comando e il controllo."
"Cisco Talos lo riassume bene: ‘Per un autore di minacce, ottenere un accesso privilegiato alla shell sul computer di una vittima è come avere un coltellino svizzero, che consente l’esecuzione di comandi arbitrari o di shellcode nell’ambiente della vittima, con conseguenze significative per l’organizzazione presa di mira’."
"La prova dell’attrattiva che tali strutture onnicomprensive esercitano sugli autori di attacchi è emersa da diverse relazioni pubblicate nell’ultima settimana circa. CTI ha inoltre riportato un articolo di Trend Micro pubblicato su in cui si descrive come QAKBOT — un efficace loader/dropper di malware — abbia iniziato a facilitare la distribuzione di payload di seconda fase quali Brute Ratel, un framework di emulazione degli attacchi disponibile in commercio, e l’onnipresente Cobalt Strike, un framework più consolidato, il tutto a supporto dell’eventuale distribuzione del ransomware Black Basta.
"Poiché le varie versioni trapelate di Cobalt Strike hanno inevitabilmente portato a campagne meno efficaci (un elevato tasso di rilevamento di Cobalt Strike è il risultato inevitabile dell’uso eccessivo e della troppo ampia diffusione di uno strumento ripetutamente sfruttato dagli autori delle minacce), gli autori degli attacchi hanno iniziato a ricorrere a framework più recenti dotati di funzionalità avanzate. Nuove minacce come Alchimist e Brute Ratel stanno diventando opzioni sempre più allettanti per gli attacchi in cui gli autori delle minacce cercano di passare inosservati per periodi di tempo più lunghi. “Prevediamo che tali framework continueranno ad acquisire una quota sempre maggiore del mercato dei framework di emulazione C2/avversario.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il forum di discussione di “ Tanium ” all’indirizzo per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi sulle minacce informatiche.
