Nella rassegna di questa settimana, CTI analizza il modo in cui gli autori delle minacce stanno riutilizzando vecchi codici di prova (PoC) per creare falsi PoC relativi a nuove vulnerabilità. A seguire, CTI riporta un avviso congiunto in materia di sicurezza informatica emanato dall’FBI (Federal Bureau of Investigation) e dalla CISA (Cybersecurity and Infrastructure Security Agency) riguardante il ransomware Snatch. Infine, CTI sta indagando su un attore malintenzionato cinese specializzato in attività di spionaggio, noto come Earth Lusca, che sta prendendo di mira organizzazioni governative in diversi paesi tramite una nuova backdoor di tipo “ Linux ” denominata SprySOCKS.
1. Gli autori delle minacce riutilizzano codice obsoleto in un PoC relativo a una vulnerabilità fittizia
In un avviso rivolto ai ricercatori, Palo Alto rivela come un autore di attacchi abbia inserito uno script PoC contraffatto denominato “ ” (si apre in una nuova scheda) in un repository GitHub poco dopo la segnalazione pubblica della vulnerabilità, causando il download del RAT Venom.
Il 17 agosto la Zero Day Initiative ha reso pubblica una vulnerabilità di esecuzione di codice da remoto (RCE) in WinRAR, identificata con il numero CVE-2023-40477. Appena quattro giorni dopo, un utente che utilizzava lo pseudonimo “whalersplonk” ha inserito uno script PoC fasullo nel proprio repository su GitHub . Questo PoC fittizio si basa su uno script PoC disponibile pubblicamente che sfruttava una vulnerabilità di tipo " SQL " (SQL injection).
Lo script PoC contraffatto non sfrutta la vulnerabilità prevista, ma si basa invece su un codice PoC disponibile pubblicamente relativo a una vulnerabilità presente in GeoServer. Anziché sfruttare la vulnerabilità di WinRAR, come ci si aspetterebbe dal codice PoC, esso innesca una catena di infezione che porta all’installazione di VenomRAT.
Il falso PoC è uno script Python che è stato caricato su VirusTotal in un archivio ZIP denominato CVE-2023-40477-main.zip, in particolare il file poc.py.
Componente di ingegneria sociale
Il file README.md contenuto nell’archivio ZIP cerca di indurre gli utenti a compromettere il proprio sistema, fornendo una sintesi della vulnerabilità insieme alle istruzioni per l’uso del presunto script PoC. Le istruzioni includono anche un link a un video. Tuttavia, il video non è più ospitato su quel sito URL poiché era in scadenza.
I ricercatori hanno accertato che il video citato nel file README ha registrato oltre 100 visualizzazioni individuali. Sono riusciti a ottenere due screenshot che sono stati utilizzati come miniature per mostrare alcune parti del video.
- La prima immagine viene visualizzata prima che l’utente faccia clic sul pulsante di riproduzione e mostra il desktop e il Task Manager dell’autore dell’attacco, compreso un processo denominato “ Windows.Gaming.Preview”. Si tratta dello stesso nome del file eseguibile del payload di VenomRAT.
- Si ritiene che la seconda schermata sia stata acquisita a metà del video e mostri un archivio di Burp Suite, una password in Blocco note e il client PuTTY. Mostra inoltre la data e l'ora dell'orologio di Windows , il che è stato utile per stabilire una cronologia degli eventi.
Il falso PoC
Lo script Python PoC fasullo contenuto nell'archivio era denominato poc.py ed era basato sul codice open source " CVE-2023-25157 PoC", con alcune modifiche.
Le modifiche comprendono:
- Rimozione dei commenti relativi ai dettagli sulla vulnerabilità CVE-2023-25157
- Rimozione delle righe di codice che potrebbero far supporre che si tratti di una vulnerabilità legata alla rete, quali l’impostazione delle variabili denominate PROXY e PROXY_ENABLED
- Stringhe modificate da Geoserver per lo sfruttamento della vulnerabilità
- Inserimento di codice aggiuntivo che scarica ed esegue uno script batch con il commento “verifica delle dipendenze”
Uno script batch eseguirà uno script codificato PowerShell per scaricare uno script aggiuntivo PowerShell, che verrà salvato in %TEMP%\c.ps1. Questo script scaricato provvederà a scaricare ed eseguire un altro file eseguibile prima di creare un’attività pianificata (Windows.Gaming.Preview.exe) per l’esecuzione di tale file ogni tre minuti.
Windows.Gaming.Preview.exe è una variante di VenomRAT. Questa variante attiva una funzionalità di registrazione dei tasti per registrare i tasti premuti prima di iniziare a comunicare con il proprio C2.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«La motivazione alla base di questo attacco è interessante, poiché sembra che la scelta degli obiettivi sia probabilmente di natura piuttosto opportunistica, pur rimanendo comunque incentrata sui ricercatori nel campo della sicurezza.»
"Questa attività evidenzia il fatto che gli autori delle minacce siano costantemente alla ricerca di nuove vie di attacco e che sfruttino gli interessi dei propri bersagli. Ciò ci ricorda inoltre l’importanza di avvalersi di fonti attendibili, soprattutto quando si scarica codice PoC.”
2. L'FBI e la CISA pubblicano un avviso congiunto relativo a Snatch RaaS
L’FBI e la CISA hanno pubblicato un avviso congiunto sulla sicurezza informatica per diffondere gli ultimi indicatori di compromissione (IOC) e le tecniche, tattiche e procedure (TTP) associate al ransomware “ Snatch”. (si apre in una nuova scheda)
Il ransomware Snatch è apparso per la prima volta nel 2018, operando secondo il modello “ransomware-as-a-service” (RaaS). Il gruppo si chiamava originariamente Team Truniger a causa del soprannome di uno dei suoi membri principali. Gli autori dell'attacco hanno utilizzato una variante personalizzata di ransomware che si distingueva soprattutto per la capacità di riavviare i dispositivi in modalità provvisoria, consentendo al ransomware di eludere il rilevamento e crittografare i file quando erano in esecuzione un numero minore di servizi.
È noto che gli autori delle minacce acquistino dati sottratti da altre varianti di ransomware per sfruttare ulteriormente tali vittime. Come abbiamo già osservato in precedenza, il gruppo di ransomware Snatch ha rivendicato la responsabilità di diversi attacchi contro istituzioni scolastiche , che hanno portato all’esfiltrazione di dati personali identificativi (PII) di studenti e personale sul dark web. Dalla metà del 2021, gli autori degli attacchi del ransomware Snatch hanno costantemente evoluto le proprie tattiche, tecniche e procedure (TTP) per trarre vantaggio dal mutevole panorama delle minacce. Gli autori delle minacce hanno storicamente preso di mira un’ampia gamma di settori delle infrastrutture critiche, tra cui la base industriale della difesa (DIB), il settore agroalimentare e quello delle tecnologie dell’informazione.
Gli autori delle minacce legate al ransomware Snatch conducono operazioni che comportano l’esfiltrazione di dati e la doppia estorsione. Spesso comunicano direttamente con le vittime per esigere un riscatto e minacciano di pubblicare i dati rubati sul loro blog dedicato alle estorsioni.
Accesso iniziale e persistenza
Gli autori delle minacce di tipo “snatch” dispongono di diversi metodi per ottenere l’accesso e mantenere la persistenza. Gli affiliati tendono a sfruttare le vulnerabilità dell’RDP per effettuare attacchi di forza bruta e ottenere le credenziali di amministratore della rete. In alcuni casi, gli affiliati hanno acquistato credenziali compromesse da forum clandestini di criminali informatici.
Gli autori delle minacce garantiscono la persistenza compromettendo un account amministratore e stabilendo connessioni tramite la porta 443 verso un server C2 . Il server C2 è ospitato su un servizio di hosting russo "bulletproof".
Individuazione dei dati e movimento laterale
Gli autori delle minacce utilizzano varie TTP per individuare i dati, spostarsi lateralmente e cercare dati da sottrarre. Sc.exe viene utilizzato per configurare, interrogare, arrestare, avviare, eliminare e aggiungere servizi di sistema tramite la riga di comando " Windows ". Gli autori dell'attacco hanno inoltre utilizzato Metasploit e Cobalt Strike.
Prima di lanciare l’attacco ransomware, gli autori della minaccia trascorrono fino a tre mesi all’interno del sistema della vittima. Durante questo periodo, gli autori dell’attacco sfruttano la rete, spostandosi lateralmente tramite RDP per ottenere la più ampia diffusione possibile del ransomware.
Evasione e esecuzione delle difese
Durante le prime fasi della catena di attacco, gli autori dell’attacco Snatch tentano di disattivare il software antivirus ed eseguire un file eseguibile denominato safe.exe. In casi più recenti, il nome del file eseguibile del ransomware era costituito da una stringa di caratteri esadecimali, corrispondente all’hash SHA-256 dei file.
Una volta avviato, il payload del ransomware interrogherà e modificherà le chiavi di registro, utilizzerà vari strumenti nativi di “ Windows ” per enumerare il sistema, individuare i processi e creare processi innocui per l’esecuzione di file batch “ Windows ”. In alcuni casi, il ransomware elimina le copie shadow dei volumi. Dopo l'esecuzione dei file batch, il ransomware rimuove tali file dal sistema.
L'eseguibile del ransomware aggiunge una serie di caratteri esadecimali al nome di ogni file e cartella che crittografa. Questo aspetto è specifico per ciascuna infezione. Inoltre, in ogni cartella verrà inserito un file denominato “HOW TO RESTORE YOUR FILES.txt”. Gli autori delle minacce comunicano con le proprie vittime tramite e-mail e la piattaforma di comunicazione Tox, a seconda degli identificativi riportati nelle richieste di riscatto.
Alcune vittime hanno riferito di aver ricevuto una chiamata con numero falsificato da una donna sconosciuta che affermava di essere collegata al gruppo di ransomware Snatch e che le indirizzava al sito di estorsione del gruppo. In alcuni casi, sulle macchine delle vittime era stata installata una variante diversa del ransomware, ma hanno comunque ricevuto la richiesta di riscatto di Snatch.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Ciò che contraddistingue questo gruppo di autori di ransomware sono le telefonate fasulle che effettuano occasionalmente, le quali vengono indirizzate direttamente alla vittima e la indirizzano al sito di estorsione. Sebbene questa tattica non sia presente in tutti gli attacchi del ransomware Snatch, solleva comunque la questione del perché — e se tale tendenza si diffonderà anche tra altre famiglie di ransomware.”
«Le ultime tre pagine dell’avviso congiunto contengono raccomandazioni dettagliate in materia di misure di mitigazione da parte dell’FBI e della CISA. Tra le loro raccomandazioni principali figurano la protezione e il monitoraggio attento del protocollo RDP, la conservazione di backup dei dati offline e l’attivazione e l’applicazione di un’autenticazione a più fattori (MFA) resistente al phishing.
3. Gli autori delle minacce utilizzano il nuovo malware SprySOCKS Linux negli attacchi di spionaggio informatico
Un attore malintenzionato cinese specializzato in attività di spionaggio, noto come Earth Lusca (si apre in una nuova scheda) , sta ora prendendo di mira organizzazioni governative in diversi paesi con una nuova backdoor Linux denominata SprySOCKS. La backdoor deriva dal malware open source Trochilus, disponibile all’indirizzo Windows (si apre in una nuova scheda), con molte delle sue funzioni adattate per funzionare sui sistemi Linux .
Recenti attività di Earth Lusca
Earth Lusca ha continuato a operare nel 2023, sferrando attacchi mirati contro dipartimenti governativi nei settori degli affari esteri, della tecnologia e delle telecomunicazioni.
Earth Lusca sta ora sfruttando con maggiore frequenza le vulnerabilità "zero-day" legate ai server per ottenere l'accesso iniziale. Successivamente, verrà distribuita una web shell e verrà installato Cobalt Strike per eseguire il movimento laterale. Il gruppo procederà all’esfiltrazione di documenti e credenziali di account e-mail, oltre a implementare backdoor ancora più avanzate, quali ShadowPad e la versione “ Linux ” di Winnti.
Componente del caricatore a ganasce
Trend Micro ha rilevato un file denominato libmonitor.so.2 ospitato sul server di distribuzione di Earth Lusca. Hanno scoperto che il caricatore non era stato sviluppato da zero. Il suo sviluppatore ha utilizzato un iniettore ELF disponibile pubblicamente su Linux denominato “mandibule”.
Il progetto originale ELF Injector è uno strumento da riga di comando in grado di inserire un payload al proprio interno o in un altro progetto. Questo ha costituito la base del loader del malware. Lo sviluppatore ha rimosso la schermata di utilizzo e la possibilità di infiltrarsi in altri processi, aggiungendo invece una funzione per caricare e decriptare la seconda fase. I ricercatori sottolineano che si è trattato di un lavoro piuttosto approssimativo, poiché lo sviluppatore non ha rimosso i messaggi di debug né ha ottimizzato il caricatore.
Il nome del processo viene impostato su kworker/0:22 tramite il comando prctl. Kwoker è in genere un processo di riserva per i thread di lavoro del kernel. Probabilmente questo nome è stato scelto per non destare sospetti. Il programma di caricamento accetta due parametri della riga di comando: il percorso del file crittografato della seconda fase e il flag di autodistruzione. La seconda fase è crittografata con un algoritmo AES-ECB, con la password hardcoded nel programma di avvio. Il programma di caricamento garantisce inoltre la propria persistenza copiando se stesso e la seconda fase crittografata nella directory /usr/sbin/ e rinominandoli. Successivamente avvia il programma di caricamento come servizio e si elimina automaticamente.
Componente SprySOCKS
I ricercatori hanno esaminato la seconda fase decriptata e hanno scoperto che era stata compilata in modo statico tramite il progetto HP-Socket, un framework di rete ad alte prestazioni di origine cinese. La procedura di inizializzazione ha rivelato una password crittografata hardcoded utilizzata per crittografare le comunicazioni con il server C2 . Anche l'indirizzo C2 e la porta sono hardcoded, ma in testo in chiaro.
Il malware sembra essere un insieme di diversi tipi di malware. Il protocollo di comunicazione SprySOCKS C2 è simile alla backdoor RedLeaves di Windows . Al contrario, l’implementazione della shell interattiva sembra derivare dal malware di tipo “ Linux ” noto come Derusbi. Il RAT implementa diversi comandi standard tipici delle backdoor, quali la raccolta di informazioni di sistema, l’avvio di una shell interattiva, l’elenco delle connessioni di rete, la creazione di un’ proxy SOCKS, il caricamento e il download di file e altro ancora.
Attribuzione
Il payload crittografato di SprySOCKS era ospitato su un server di distribuzione all’inizio del giugno 2023. Questo server era gestito dall’attore malintenzionato Earth Lusca e distribuiva ai propri bersagli file eseguibili di Cobalt Strike e della versione “ Linux ” di Winnti. Il payload di SprySOCKS contiene un numero di versione pari a 1,3,6 e utilizza un dominio specifico C2 . I ricercatori hanno individuato su VirusTotal un altro payload di SprySOCKS, con numero di versione 1,1, che si collegava a un altro dominio C2 . Questo dominio C2 presentava numerose sovrapposizioni con un dominio che è noto per essere un C2 di Earth Lusca.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Al momento, Trend Micro ha rilevato che il malware SprySOCKS viene utilizzato esclusivamente da Earth Lusca. Tuttavia, dato che gli autori di minacce cinesi condividono spesso malware personalizzato, non sarebbe sorprendente vedere in futuro altri autori di minacce cinesi avvalersi di SprySOCKS.”
«Al momento il malware non sembra essere particolarmente complesso, ma le sue numerose versioni indicano che probabilmente è ancora in fase di sviluppo e perfezionamento.»
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
