Questa settimana, CTI analizza in dettaglio la campagna ransomware ESXiArgs, in rapida espansione, che sta crittografando migliaia di server ESXi. Successivamente, analizziamo una tendenza in crescita che vede alcuni autori di minacce distribuire malware tramite file OneNote — un metodo di diffusione un tempo poco diffuso. Infine, concludiamo con un articolo di natura strategica incentrato sulle recenti dichiarazioni del presidente Biden, rese durante il suo secondo discorso sullo Stato dell’Unione, riguardo all’urgente necessità per la nazione di una legge federale completa in materia di protezione dei dati personali.
1. Un massiccio attacco ransomware denominato ESXiArgs prende di mira i server ESXi di VMware in tutto il mondo
Secondo un bollettino del CERT-FR francese, gli autori degli attacchi stanno prendendo di mira attivamente i server ESXi di VMware (si apre in una nuova scheda) - concentrandosi, a quanto pare, sui server che non sono stati aggiornati e che risultano vulnerabili a CVE-2021-21974 (si apre in una nuova scheda) (una vulnerabilità risalente a due anni fa che consente l’esecuzione di codice da remoto) nell’ambito di una campagna su larga scala che vede protagonista il ransomware ESXiArgs, relativamente sconosciuto.
Al momento della stesura del presente articolo, il monitoraggio di effettuato da Censys (si apre in una nuova scheda) aveva stimato che il numero di server compromessi (situati in Canada, Francia, Finlandia, Germania e Stati Uniti) fosse pari a 3.200 e in aumento. I ricercatori sottolineano che il numero delle vittime è probabilmente più elevato, poiché i motori di ricerca su Internet forniscono solo un’istantanea, ovvero una scansione effettuata in un determinato momento, e i dispositivi vengono regolarmente disconnessi dalla rete per essere sottoposti a interventi correttivi tra una scansione e l’altra.
Il nuovo ransomware ESXiArgs
Secondo un post pubblicato sul blog TheRecord di Recorded Future, il ransomware utilizzato nella campagna è denominato ESXiArgs poiché il malware crea un file aggiuntivo con estensione .args al termine della crittografia del documento. Il presente file contiene informazioni su come decriptare il documento della vittima.
La variante di ransomware coinvolta nella campagna sembrava inizialmente essere collegata alla famiglia di ransomware Nevada — una teoria diffusa in un post pubblicato sul blog del provider francese di hosting cloud OVHcloud (si apre in una nuova scheda) (un’azienda i cui clienti figurano tra le vittime colpite da questa campagna). Tuttavia, tale ipotesi è stata infine smentita. Sono state inoltre rilevate somiglianze tra ESXiArgs e il ransomware Babuk, poiché entrambi utilizzano lo stesso algoritmo di crittografia (Sosemanuk); tuttavia, le differenze nella struttura del codice del malware hanno sollevato dubbi anche su questa ipotesi.
Arctic Wolf (si apre in una nuova scheda) afferma che, sulla base della richiesta di riscatto, la campagna è probabilmente opera di un singolo autore o di un gruppo. Tale ipotesi è dovuta alla natura non mirata della campagna, alla probabile assenza di ricognizione preliminare sulle vittime e alla richiesta di riscatto relativamente modesta da parte degli autori dell’attacco, pari a due Bitcoin. Ogni nota presenta inoltre un ID Tox identico, che viene utilizzato dalle vittime per interagire con l’autore della minaccia. Un ID Tox viene utilizzato per aggiungere persone agli elenchi dei contatti all’interno della piattaforma di messaggistica Tox Chat.
A prescindere dall’attribuzione, OVHcloud è stata in grado di individuare le seguenti caratteristiche comportamentali, ricavate dagli incidenti relativi a ESXiArgs segnalati dai clienti:
- È stato confermato che il vettore di compromissione sfrutta una vulnerabilità di OpenSLP che potrebbe essere la CVE-2021-21974 (da confermare). I log indicano che l'utente dcui è coinvolto nel processo di compromissione.
- La crittografia utilizza una chiave pubblica inserita dal malware nel file /tmp/public.pem.
- Il processo di crittografia prende di mira in modo specifico i file delle macchine virtuali (.vmdk, .vmx, .vmxf, .vmsd, .vmsn, .vswp, .vmss, .nvram e .vmem).
- Il malware cerca di arrestare le macchine virtuali terminando il processo VMX per sbloccare i file. Questa funzione non funziona sempre come previsto, con la conseguenza che alcuni file rimangono bloccati.
- Il malware crea il file "argsfile" per memorizzare gli argomenti passati al file binario crittografato (numero di MB da saltare, numero di MB per blocco di crittografia, dimensione del file).
- Non si è verificata alcuna esfiltrazione di dati.
Secondo quanto riferito, Michael Gillespie di ID Ransomware avrebbe analizzato una copia del programma di crittografia ESXiArgs di ; ha dichiarato a BleepingComputer che, purtroppo, si tratta di un programma di crittografia sicuro, privo di vulnerabilità crittografiche che potrebbero potenzialmente consentire la decrittografia.
Propagazione
I ricercatori ritengono che ESXiArgs si stia diffondendo sfruttando la vulnerabilità CVE-2021-21974 (si apre in una nuova scheda), una falla di sicurezza risalente a due anni fa relativa a un problema di overflow dell’heap nel servizio OpenSLP, che di fatto rende gli hypervisor ESXi privi di patch vulnerabili ad attori malintenzionati non autenticati nell’ambito di attacchi a bassa complessità.
Non è coinvolta alcuna vulnerabilità zero-day
Il 6 febbraio 2023, in un avviso pubblicato all’indirizzo VMware in cui si esortavano gli amministratori ad applicare le patch ai server ESXi e a disabilitare il servizio OpenSLP, l’azienda ha tenuto a precisare che gli autori degli attacchi non stavano sfruttando una vulnerabilità zero-day per diffondere il ransomware ESXiArgs.
In sostanza, VMware ha verificato che la campagna su larga scala fosse effettivamente il risultato di attacchi sferrati da autori di ransomware contro server ESXi esposti a Internet e privi di patch. VMware si fa notare che questo servizio è disabilitato per impostazione predefinita (si apre in una nuova scheda)nelle versioni del software ESXi rilasciate a partire dalla 2021.
Quali sono le conseguenze?
VMWare descrive ESXi (si apre in una nuova scheda) come un «hypervisor bare-metal … con accesso diretto e controllo delle risorse sottostanti» — che offre accesso a file critici e consente agli aggressori di compromettere una vasta gamma di risorse dell’utente.
BleepingComputer riferisce che la vulnerabilità CVE-2021-21974 interessa i seguenti sistemi:
- Versioni di ESXi 7.x precedenti alla ESXi70U1c-17325551
- Versioni di ESXi 6,7.x precedenti alla ESXi670-202102401-SG
- Versioni di ESXi 6,5.x precedenti alla ESXi650-202102101-SG
Nel febbraio del 2021 è stata rilasciata una patch per la versione CVE-2021-21974 . Le agenzie governative e i ricercatori nel campo della sicurezza stanno attualmente esortando gli amministratori di rete ad aggiornare immediatamente tutti i server per i quali non siano state ancora installate le patch.
Seconda ondata di attacchi del ransomware ESXiArgs; si sollevano dubbi sul vettore di accesso iniziale
Nell’ultimo aggiornamento, quella che sembra essere una seconda ondata di attacchi ransomware ESXiArgs presenta una versione aggiornata del malware e crittografa una quantità maggiore di dati, rendendo di fatto molto più difficile — se non impossibile — per i tecnici di intervento ripristinare le macchine virtuali ESXi di VMware sottoposte a crittografia.
Il blog dedicato alla sicurezza informatica BleepingComputer afferma di aver appreso per primo della seconda ondata di attacchi dopo che un amministratore ha pubblicato un post nel forum “EXSiArgs Support” del blog , all’indirizzo.
Anche gli esperti di sicurezza stanno ora mettendo in discussione la validità dell’affermazione, ampiamente accettata, secondo cui il vettore di infezione iniziale della campagna consista, di fatto, nello sfruttamento di server ESXi VMware che non sono stati aggiornati e risultano vulnerabili a CVE-2021-21974 (si apre in una nuova scheda).
Nuova versione di ESXiArgs
Dopo aver analizzato alcuni campioni della nuova variante del ransomware, secondo quanto riferito BleepingComputer avrebbe scoperto che, sebbene il modulo di crittografia di ESXiArg non fosse cambiato, la parte del codice della routine di crittografia che determinava la quantità di dati da crittografare era stata modificata — causando di fatto che il modulo di crittografia alternasse la crittografia di 1MB dati al salto di 1MB dati. Ciò significa che tutti i file con numero superiore a 128MB presentano ora il 50% dei propri dati crittografati, rendendoli praticamente irrecuperabili.
Tali modifiche impediscono inoltre che gli strumenti di ripristino forniti dalla Cybersecurity and Infrastructure Security Agency (CISA) tramite its GitHub pagina (si apre in una nuova scheda) in risposta alla prima ondata di attacchi consentano di ripristinare con successo i sistemi crittografati, poiché una quantità eccessiva di dati sarà stata crittografata per poter essere utilizzata.
Inoltre, la richiesta di riscatto non contiene più un indirizzo Bitcoin. Probabilmente si è trattato di un tentativo da parte degli operatori di ESXiArg di impedire che i pagamenti del riscatto venissero tracciati dai ricercatori nel campo della sicurezza.
È forse la CVE-2021-21974 la vera responsabile?
Secondo un recente articolo intitolato “ ”, pubblicato sul blog di Greynoise all’indirizzo (si apre in una nuova scheda), i ricercatori nel campo della sicurezza potrebbero aver tratto conclusioni un po’ affrettate nel collegare la campagna ransomware ESXiArgs allo sfruttamento della vulnerabilità CVE-2021-21974.
Dal post:
Il collegamento tra CVE-2021-21974 (si apre in una nuova scheda) e la campagna di ransomware potrebbe essere stato ingigantito. Al momento non sappiamo quale sia il vettore di accesso iniziale ed è possibile che si tratti di una qualsiasi delle vulnerabilità relative al servizio OpenSLP di ESXi.
La comunità della sicurezza sembra concentrarsi su un’unica vulnerabilità. GreyNoise ritiene che CVE-2021-21974 possa rappresentare un vettore di accesso iniziale plausibile, ma non è a conoscenza di alcuna fonte diretta che confermi tale ipotesi. Invitiamo gli addetti alla sicurezza a rimanere vigili e a non dare per scontate le affermazioni di ogni fornitore (noi compresi).
Tale affermazione è avvalorata dal fatto che, secondo quanto riferito, diverse vittime hanno dichiarato che OpenSLP era disattivato sui loro dispositivi e che, ciononostante, sono state vittime di violazioni e i loro dati sono stati crittografati. Tuttavia, la domanda rimane: in che modo l’ Community e di sicurezza è giunto, in primo luogo, ad attribuire la campagna ESXiArgs a un’ CVE e specifica?
Un ottobre 2022 (si apre in una nuova scheda) post sul blog pubblicato da Juniper Networks ha illustrato le potenzialità di abuso delle varie vulnerabilità OpenSLP presenti in diverse versioni di ESXi. Sebbene il post non sia arrivato al punto di attribuire una vulnerabilità specifica a un caso di sfruttamento riuscito, ha comunque fornito dettagli sulla backdoor che è stata installata a seguito dello sfruttamento negli incidenti osservati.
In sintesi, esistono numerose vulnerabilità OpenSLP in diverse versioni di ESXi, tra cui: CVE-2021-21974 (si apre in una nuova scheda), CVE-2020-3992 e CVE-2019-5544 (si apre in una nuova scheda). È molto probabile che molte di queste vulnerabilità siano state sfruttate in passato per installare una backdoor dannosa e, come riportato da Greynoise, sebbene «nessun “ CVE ” sia stato concretamente indicato come vettore di accesso iniziale per la campagna ESXiArgs da fonti primarie», i ricercatori di sicurezza sembrano concordare sul fatto che questi elementi siano di per sé sufficienti a consentire loro di giungere alla conclusione che CVE-2021-21974 sia il misterioso vettore di accesso iniziale del ransomware ESXiArgs.
Un’analisi approfondita di , recentemente aggiornata, su ESXiArgs (si apre in una nuova scheda) pubblicata da Censys evidenzia quanto segue, gettando ulteriori dubbi sul fatto che OpenSLP possa costituire la via di attacco utilizzata dagli autori dell’attacco:
«Come abbiamo riferito ieri, OpenSLP non sembra essere il metodo di attacco, dato che su diversi host compromessi non era in esecuzione SLP.»
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questo recente sviluppo sottolinea, sia per i professionisti della sicurezza che per gli analisti di intelligence sulle minacce informatiche, l’importanza di astenersi dal trarre conclusioni affrettate — in particolare quando tali affermazioni non si basano su testimonianze di prima mano o sulle dichiarazioni dei fornitori coinvolti.» Un simile comportamento non fa altro che alimentare la paura, l’incertezza e il dubbio in una situazione già di per sé grave. La verità trova sempre il modo di venire a galla. «Di solito è solo una questione di tempo.»
«Il fatto che la nuova variante di ESXiArgs possa rendere i sistemi colpiti praticamente irrecuperabili dovrebbe servire a sottolineare l’importanza di individuare i sistemi esposti e/o vulnerabili e di proteggerli immediatamente. Indipendentemente dal fatto che il CVE-2021-21974 costituisca o meno la via d’accesso per gli autori di questa campagna, la presenza di una vulnerabilità RCE risalente a due anni fa nelle macchine virtuali ESXi prive di patch rappresenta un rischio superfluo.”
2. Nuovi attacchi QakNote diffondono il malware QBot tramite file OneNote di Microsoft
Sophos ha rilevato un nuovo attacco su larga scala, denominato QakNote, che diffonde il malware QBot di tramite file OneNote di Microsoft . (si apre in una nuova scheda)
Tendenza in aumento: l’utilizzo di file OneNote per diffondere malware
Da qualche tempo le aziende specializzate nella sicurezza stanno monitorando l'aumento del malware diffuso tramite file .one di OneNote. Fino a poco tempo fa, questa tattica veniva utilizzata raramente dai criminali informatici. Tuttavia, nel rapporto “ gennaio 2023” (), Proofpoint ha rilevato oltre 50 campagne OneNote (si apre in una nuova scheda) che diffondevano vari payload di malware, tra cui AsyncRAT, Redline, AgentTesla e Doubleback. Di particolare interesse è l’utilizzo dei documenti OneNote per la distribuzione di QBot tramite l’Initial Access Broker TA577 al termine dell’ gennaio 2023.
Perché si è verificato un improvviso aumento del numero di campagne che sfruttano OneNote per diffondere malware? Sebbene sia difficile fornire una risposta definitiva, si ritiene che gli autori delle minacce stiano orientandosi verso OneNote a causa della decisione di Microsoft di bloccare per impostazione predefinita le macro nei documenti provenienti da Internet. Tale decisione ha indotto gli autori delle minacce a sperimentare varie TTP per eludere le soluzioni di rilevamento.
Quali sono le novità relative al malware QBot?
QBot (si apre in una nuova scheda), noto anche come QakBot (da cui il nome della campagna “QakNote”), è storicamente noto come trojan bancario – sebbene, come molti suoi simili, si sia poi evoluto in un malware multifunzionale finalizzato al furto di informazioni – ed è attivo da anni.
QBot sottrae dati sensibili (si apre in una nuova scheda) e si diffonde autonomamente ad altri sistemi presenti sulla rete. QBot ha potenziato il proprio sistema di controllo e comando ( ) per fornire funzionalità di esecuzione remota del codice (RCE), consentendo agli autori delle minacce di sferrare attacchi manuali al fine di raggiungere obiettivi secondari.
Una ricerca condotta da Sophos sui file .one dannosi ha portato alla scoperta del malware QBot, diffuso proprio attraverso questo vettore di minaccia. Sembra che QBot abbia iniziato a sfruttare i documenti .one negli attacchi verso la fine di gennaio. In una campagna oggetto di osservazione, l’e-mail dannosa conteneva un link che induceva la vittima a scaricare un file .one dannoso. In questa campagna, il messaggio e-mail era piuttosto impersonale.
Un altro caso osservato ha seguito tattiche più comunemente associate a QBot, in cui l’e-mail dannosa viene inserita nel mezzo di una conversazione già in corso. In questo thread il file .one era allegato direttamente.
Indipendentemente dal fatto che l’utente faccia clic su un collegamento che lo reindirizza al documento di OneNote oppure apra direttamente l’allegato, viene indirizzato a una pagina di OneNote in cui si legge: «Questo documento contiene allegati provenienti dal cloud; per scaricarli, fare doppio clic [sic] su “Apri”». Il pulsante “Apri” presente nel documento rimanda a un file .hta.
Facendo clic sul pulsante “Apri” verrà eseguito il file .hta, il quale scarica un campione di QBot da un server remoto e lo esegue. Il codice dello script contenuto nel file .hta trasmette un indirizzo URL , inserito in modo fisso, all’applicazione curl[.]exe, la quale recupera il file dall’altra parte. I campioni rilevati sui server presentavano estensioni di file relative a formati immagine, quali .png o .gif, ma in realtà si trattava di file DLL. In questo caso, il payload del malware QBot si è inserito nel file AtBroker[.]exe, ovvero l’utilità “ Windows Assistive Technology Manager”.
In alcuni dei blocchi appunti OneNote dannosi è stata osservata una caratteristica peculiare. Se si fa clic con il tasto destro del mouse e si salvano gli elementi grafici presenti nel blocco note, nella finestra di dialogo verrà automaticamente inserito il nome del file assegnato all’immagine al momento del suo inserimento iniziale nel documento. Il nome del file in questo caso era
“bezymyanny risunok”, che in russo significa “disegno anonimo”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«I blocchi appunti di OneNote consentono agli autori delle minacce di incorporare quasi qualsiasi tipo di file, dagli allegati VBS ai file LNK. Ciò che risulta interessante riguardo agli autori delle minacce che utilizzano OneNote è la fase aggiuntiva di ingegneria sociale. Sì, l’ingegneria sociale entra già in gioco nel momento in cui la vittima riceve un’e-mail di phishing del tipo “ ” contenente il link o l’allegato di OneNote. Tuttavia, si verifica un ulteriore aspetto di ingegneria sociale quando l’utente accede al blocco note di OneNote e viene indotto a fare clic sull’allegato incorporato tramite una qualche esortazione all’azione.”
3. Il discorso sullo stato dell’Unione di Biden lo afferma chiaramente: la tutela dei dati personali è un requisito imprescindibile
Nel suo secondo discorso sullo stato dell’Unione, il presidente degli Stati Uniti Joe Biden ha dedicato più attenzione che mai alla necessità immediata del Paese di adottare una misura simile, per natura, al Regolamento generale sulla protezione dei dati (GDPR) dell’Unione europea (UE).
Sebbene il regolamento dell’UE — emanato nel 2018 — sia tutt’altro che perfetto (si apre in una nuova scheda), la sua stessa esistenza getta una lunga ombra sulla totale assenza, negli Stati Uniti, di leggi federali complete in materia di protezione dei dati. Il presidente Biden ha dedicato una parte considerevole del proprio discorso a richiamare l’attenzione su questa lacuna nella dottrina nazionale in materia di sicurezza informatica.
Perché l’attuale panorama politico potrebbe essere maturo per una nuova regolamentazione
Poiché il controllo del Congresso degli Stati Uniti è attualmente diviso tra i vari partiti, il presidente Biden ha sottolineato che tali circostanze potrebbero potenzialmente contribuire a facilitare il sostegno bipartisan a una legge federale completa in materia di protezione dei dati.
L’idea di una legge o di una serie di norme federali di questo tipo ha certamente guadagnato terreno e raccolto un discreto numero di sostenitori negli ultimi anni — in particolare sulla scia di attacchi informatici di grande risonanza, compresi quelli rivolti contro infrastrutture critiche, come l’attacco ransomware ai danni della Colonial Pipeline (si apre in una nuova scheda) nel maggio del 2021) e quelli contro agenzie governative federali o locali.
Un nuovo precedente?
Agli occhi sia degli opinionisti dei media che degli esperti di sicurezza, la semplice menzione della potenziale approvazione di una legge federale sulla protezione dei dati nel discorso sullo Stato dell’Unione del presidente Biden (si apre in una nuova scheda) costituisce un precedente «secondo cui l’argomento dovrebbe essere motivo di reale preoccupazione per i presidenti degli Stati Uniti e per l’opinione pubblica», come ha affermato WIRED.
I presidenti precedenti hanno generalmente evitato di affrontare qualsiasi argomento relativo alla protezione dei dati in discorsi di tale portata e con un livello di visibilità così elevato. Dei due precedenti presidenti, solo uno ha menzionato l’argomento — e solo una volta. Il presidente Biden ha sollevato la questione in entrambi i suoi discorsi sullo stato dell’Unione.
Nel suo primo discorso, tenuto nel 2022, il presidente Biden ha menzionato la tutela dei dati personali nel contesto della protezione dei minori e dell’impedire alle grandi aziende tecnologiche di raccogliere dati personali. Il discorso di quest’anno è andato oltre.
Il livello successivo
Approfondendo il concetto da lui introdotto per la prima volta in quel discorso alla classe 2022 e fornendo ulteriori chiarimenti, in termini più tecnici, sulle minacce informatiche che la nazione si trova attualmente ad affrontare, il presidente Biden — intenzionalmente o meno — ha indicato che il governo degli Stati Uniti attribuisce grande importanza alla comprensione da parte dell’opinione pubblica della privacy dei dati e all’urgenza con cui la nazione deve migliorarne la protezione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Negli Stati Uniti manca ancora una legge federale sulla protezione dei dati realmente completa e inclusiva, nonché il relativo quadro normativo. Lo scenario peggiore in questo caso è che si continui semplicemente a registrare un vuoto normativo a livello nazionale in materia di protezione dei dati personali. «Come minimo, le dichiarazioni del presidente Biden esercitano una pressione sufficiente su entrambe le parti della sua amministrazione affinché si dia il via ai lavori con i legislatori».
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
