Questa settimana CTI esamina una campagna malware scoperta di recente che sfrutta pagine web contraffatte del sito Google e tecniche di “HTML smuggling” per diffondere il malware Azorult. Di seguito, CTI presenta i punti salienti del rapporto di Imperva intitolato “State of API Security”, che analizza l’attuale panorama della sicurezza delle API. CTI analizza inoltre una campagna in corso di minacce persistenti avanzate (APT) che prende di mira diversi enti governativi in tutto il mondo.
1. Gli hacker diffondono malware tramite pagine web contraffatte del sito Google
Una campagna di malware scoperta di recente sta sfruttando pagine false del sito Google , insieme alla tecnica di “smuggling” HTML, per distribuire un tipo di malware noto come Azorult.
In questa campagna, il payload è incorporato in un file JSON separato, ospitato esternamente. L’infostealer senza file Azorult viene successivamente eseguito tramite il caricamento riflessivo del codice per eludere il rilevamento e ridurre al minimo le tracce.
Google Siti per il contrabbando di codice HTML
Netskope ha individuato questa recente attività che coinvolgeva pagine false di , Google , Docs e Google , siti utilizzati dagli autori delle minacce per il “contrabbando di codice HTML” al fine di scaricare payload dannosi.
L'autore dell'attacco all'origine di questa attività induce le proprie vittime a visitare pagine false di Google Docs all'indirizzo Google e le induce a scaricare un file che ritengono provenire da Google Docs all'indirizzo Google . In questa campagna, l’autore dell’attacco ha incorporato il payload dannoso all’interno di un file JSON in modo tale che, quando la vittima avesse effettuato l’accesso al sito, venisse inviata una richiesta GET per scaricare il file JSON .
L'autore dell'attacco ha inoltre sfruttato il CAPTCHA per eludere gli scanner di tipo " URL ". Una volta che la vittima ha superato il CAPTCHA, il codice di contrabbando HTML ricostruisce il payload e lo scarica. Il payload scaricato è un file LNK che utilizza l'icona PDF per indurre gli utenti a credere che si tratti di un file scaricato legittimamente da Google Docs. Il malware scaricato alla fine è il malware Azorult, finalizzato al furto di informazioni.
Caricamento del malware senza file Azorult
La campagna esegue il programma di furto di informazioni Azorult in memoria tramite il caricamento riflessivo del codice, come ulteriore tecnica di elusione dei sistemi di difesa. In altre parole, carica il codice nella memoria dello stesso processo PowerShell in esecuzione e, di conseguenza, non lascia dietro di sé altrettanti residui.
A tal fine, viene eseguito uno script “ PowerShell ” per aggirare l’AMSI, ovvero l’interfaccia di scansione antimalware. Successivamente, viene eseguito un secondo script PowerShell per scaricare il loader Azorult, definire uno shellcode ed eseguire una routine che caricherà sia lo shellcode che l’eseguibile nella memoria del processo.
Che cos’è il malware Azorult?
Azorult esiste dal 2016. Si inizia effettuando uno screenshot dello schermo del dispositivo e salvandolo in formato JPEG. Successivamente, procede alla raccolta dei dati del browser, inclusi i dati di accesso a Chrome, lo stato locale, i cookie e i dati web. La stessa procedura viene applicata anche a Firefox. Il malware copia i dati del portafoglio di criptovalute prima di cercare file sensibili sul desktop. Cerca estensioni di file specifiche quali TXT, AXX, DOC, XLS, KDBX, DOCX e XLSX. Effettuerà inoltre una ricerca dei nomi dei file che contengono parole chiave specifiche quali “backup”, “wallet”, “ledger” e “secret”. Una volta ottenute le informazioni necessarie, il programma scrive i dati in un flusso di memoria che viene successivamente trasferito al C2.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il “contrabbando di codice HTML” è una tecnica sempre più utilizzata dagli autori delle minacce per diffondere malware; da qui deriva la difficoltà di attribuire tale attività a un autore specifico.
Come sottolinea Netskope, «A differenza dei comuni file di contrabbando in cui il blob è già presente all’interno del codice HTML, questa campagna copia un payload codificato da un sito compromesso separato».
Ciò conferma il fatto che gli autori delle minacce ricorrano sempre più spesso a questa tecnica, modificandola inoltre per eludere ulteriormente il rilevamento.
2. I criminali informatici sfruttano le API
Imperva ha recentemente pubblicato il proprio rapporto intitolato “: State of API Security”, che analizza l’attuale panorama della sicurezza delle API sulla base degli attacchi rivolti alle API stesse.
Imperva ha rilevato che le API rappresentano ormai un vettore di attacco molto diffuso tra gli autori delle minacce, data la loro capacità di consentire l’accesso diretto a dati sensibili. Il rapporto illustra le tendenze relative agli attacchi alle API e fornisce raccomandazioni su come migliorare il livello di sicurezza delle API.
I principali vettori API da conoscere
Imperva ha analizzato i vettori di attacco alle API osservati nel corso dell’ultimo anno. La logica di business è risultata al primo posto nella classifica, rappresentando il 27% di tutti gli attacchi alle API — con un aumento del 10% rispetto all’anno precedente.
Questo tipo di attacco si verifica quando un autore di minacce cerca di «sfruttare le funzionalità previste di un’API per scopi malevoli, quali l’esfiltrazione di dati sensibili o il compromesso di un’applicazione mission-critical». Individuare gli abusi della logica di business delle API può risultare difficile, poiché gli attacchi imitano fedelmente l’utilizzo legittimo.
Il secondo vettore principale, con una percentuale del 19%, è costituito dagli attacchi provenienti da agenti automatizzati o “bot dannosi”. Imperva ha inoltre esaminato i principali settori caratterizzati da un elevato numero di chiamate API e, di conseguenza, da un elevato volume di traffico generato dai bot. È emerso che il settore bancario e finanziario rappresenta il 31%, seguito dall’e-commerce e dalla vendita al dettaglio con il 17,9% e dal settore tecnologico con il 7,1%. Sebbene non tutto il traffico generato dai bot sia dannoso, questi dati, unitamente al numero di chiamate API, costituiscono un andamento che merita di essere esaminato.
Le violazioni degli account tramite API rappresentano un altro tipo di attacco molto diffuso. Ciò si verifica quando un autore di attacchi sfrutta una vulnerabilità nel processo di autenticazione di un’API per ottenere l’accesso agli account degli utenti. Imperva ha rilevato che il 45,8% di tutti gli attacchi da essa registrati era diretto contro endpoint API, con un aumento del 11% rispetto all’anno precedente.
Endpoint API gestiti in modo inadeguato
Il rapporto di Imperva analizza in dettaglio tre tipologie comuni di endpoint API gestiti in modo inadeguato che aumentano il rischio di tali attacchi.
- Le API "Shadow" sono API non documentate o non ancora scoperte. Si tratta essenzialmente di API cadute nell’oblio e, secondo le stime di Imperva, queste rappresentano il 4,7% delle API attive di un’organizzazione.
- Le API obsolete sono endpoint API che non vengono più aggiornati e sono più esposti agli attacchi.
- Gli endpoint non autenticati sono solitamente causati da una configurazione errata o da una svista.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori delle minacce sono costantemente alla ricerca di nuovi vettori di attacco e tengono sotto osservazione l’ecosistema nel suo complesso per individuare obiettivi potenzialmente redditizi.
Uno dei motivi per cui le API rappresentano probabilmente un bersaglio allettante per gli autori delle minacce è il fatto che le organizzazioni non dispongono sempre di una visibilità completa sulle proprie API.
Come sottolinea ripetutamente Imperva nel proprio rapporto, questi attacchi sono difficili da Detect. "La natura dinamica delle interazioni tramite API e l'enorme volume di richieste legittime rendono difficile per le misure di sicurezza tradizionali individuare le attività dannose", si legge nel rapporto.
Poiché gli autori delle minacce utilizzano varie tecniche per prendere di mira le API, sono necessari diversi tipi di misure di mitigazione per garantire una copertura completa. Nel proprio rapporto, Imperva fornisce alcuni consigli per la mitigazione.
3. Una campagna APT prende di mira enti governativi a livello mondiale
I ricercatori stanno monitorando una campagna APT denominata “ ” sin dal 2022 , che prende di mira diversi enti governativi in tutto il mondo.
La campagna — che i ricercatori attribuiscono a un attore malintenzionato denominato Earth Krahang — si avvale delle infrastrutture pubbliche per sferrare ulteriori attacchi contro altri enti governativi. L'autore dell'attacco sfrutta tale accesso per ospitare payload dannosi, generare traffico di attacchi di tipo " proxy " e inviare e-mail di phishing di tipo "spear-" da account di posta elettronica governativi compromessi. L'attore ha inoltre recentemente configurato un server VPN su un server pubblico compromesso per ottenere un accesso permanente alla rete privata della vittima.
Ricognizione e accesso iniziale
Uno dei vettori di infezione utilizzati in questa campagna consiste nell’effettuare la scansione dei server accessibili al pubblico. L'autore dell'attacco utilizza strumenti open source per cercare file con estensione .git o .idea. Inoltre, tale attore ricorre occasionalmente alla forza bruta direttamente sulle directory. L'autore sta cercando server potenzialmente non sottoposti a manutenzione e mira ad accedervi per inserire web shell e installare backdoor. In alcuni casi, l’autore dell’attacco ricorre anche allo spear phishing.
Trend Micro ha rilevato che Earth Krahang ha ottenuto centinaia di indirizzi e-mail dalla vittima durante la fase di ricognizione. In un caso specifico, l’autore dell’attacco ha sfruttato una casella di posta elettronica compromessa di un dipendente pubblico per inviare un documento dannoso ad altri 796 indirizzi e-mail appartenenti allo stesso ente pubblico. L’attore abusa inoltre della fiducia instaurata tra gli enti governativi per portare avanti i propri attacchi.
Attività successive allo sfruttamento
È noto che questo attore malintenzionato installi la VPN SoftEther sui server esposti al pubblico che riesce a compromettere. L'eseguibile del server SoftEther viene quindi rinominato per mimetizzarsi tra i file legittimi presenti nel sistema.
Questa VPN viene quindi utilizzata per connettersi alla rete della vittima e svolgere ulteriori attività successive allo sfruttamento. Tra le attività osservate successive allo sfruttamento figurano: l’instaurazione della persistenza tramite backdoor mediante attività pianificate, l’abilitazione delle connessioni desktop remote, l’accesso alle credenziali, la scansione della rete, l’esecuzione laterale di codice, lo sfruttamento di vulnerabilità ai fini dell’escalation dei privilegi e altro ancora.
Esfiltrazione di e-mail
È stato rilevato che l’autore dell’attacco stava effettuando attacchi di forza bruta contro i server di Exchange tramite i portali OWA delle proprie vittime. L'autore utilizza uno script Python personalizzato che prende di mira il servizio ActiveSync sul server OWA per sferrare questo attacco. Inoltre, questo attore ha utilizzato lo strumento open source denominato “Ruler” per effettuare attacchi di forza bruta alle credenziali di posta elettronica. È stato utilizzato anche un altro script Python per sottrarre messaggi e-mail da un server Zimbra.
Il malware di Earth Krahang
Nel corso di questa lunga campagna, Earth Krahang ha diffuso una serie di malware, tra cui Cobalt Strike e due diverse backdoor personalizzate: REDSHELL e XDealer.
REDSHELL è stato utilizzato principalmente durante la campagna del 2022. Da allora l’attore ha iniziato a utilizzare principalmente XDealer, disponibile sia nella versione Windows che in quella Linux .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Trend Micro afferma di aver individuato 48 enti governativi vittime di attacchi informatici. Sono state prese di mira anche altre 49 organizzazioni governative. Queste cifre sono sbalorditive, ma la campagna è in corso almeno dal 2022 , il che ha concesso all’autore dell’attacco tutto il tempo necessario per sferrare i propri attacchi.
Sebbene la campagna abbia preso di mira anche altri settori, essa si rivolge prevalentemente a enti governativi e sfrutta indirizzi e-mail governativi compromessi. Detto questo, è importante sviluppare un “sano scetticismo quando si tratta di potenziali problemi di sicurezza e acquisire abitudini quali quella di astenersi dal cliccare su link o dall’aprire allegati senza aver prima verificato l’identità del mittente”.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
