Nella rassegna di questa settimana, CTI torna ad analizzare alcune delle principali minacce informatiche emerse negli ultimi mesi. In primo luogo, viene fornita una panoramica della recente operazione dell’FBI volta a smantellare il malware Qakbot, seguita da un’analisi dei modelli di apprendimento automatico di come vettore di attacco emergente. Sono inoltre inclusi aggiornamenti su ESXiArgs, Bumblebee, i gruppi Andariel e APT29 e sulla situazione attuale relativa al ransomware.
1. L'FBI smantella la botnet Qakbot
In dicembre 2022, CTI ha segnalato un aumento delle infezioni da Qakbot negli ambienti dei clienti, appartenenti per lo più ad aziende con sede negli Stati Uniti.
All’epoca, i ricercatori attribuirono tale aumento a una campagna di ransomware su larga scala condotta da Black Basta, un gruppo di ransomware relativamente nuovo emerso nel aprile 2022. All’epoca, Black Basta sfruttò Qakbot per penetrare nelle reti bersaglio e muoversi lateralmente al loro interno.
Qakbot — noto anche come Quackbot, Qbot, Pinkslipbot e TA570 — è una delle botnet più famigerate ed è responsabile di migliaia di infezioni da malware a livello globale. È stata scoperta per la prima volta nel 2008, il che la rende una delle botnet più longeve.
L'operazione "Duck Hunt" è stata un successo
Alla fine di agosto, un’operazione internazionale delle forze dell’ordine ha smantellato con successo la botnet Qakbot. La campagna, denominata “ ” (Operazione Duck Hunt) (si apre in una nuova scheda), sarebbe, secondo quanto riferito, la più grande operazione di contrasto alle attività finanziarie e alle botnet guidata dagli Stati Uniti mai realizzata fino ad oggi.
L'operazione "Duck Hunt" ha comportato il reindirizzamento del traffico verso server controllati dal governo, consentendo agli agenti di assumere il controllo della botnet. L’FBI ha ordinato ai computer infettati da Qakbot di scaricare un programma di disinstallazione proprietario, che ha isolato i computer delle vittime e impedito l’installazione di ulteriori malware.
Security Boulevard spiega che la strategia adottata dall’FBI durante l’operazione “ ” volta a smantellare la rete Qakbot (si apre in una nuova scheda) presenta notevoli somiglianze con il cosiddetto “hacking back” — una tattica che le autorità solitamente sconsigliano alle organizzazioni di mettere in atto a causa dei potenziali rischi associati all’esecuzione di comandi su sistemi remoti.
Nel corso dell’operazione, l’FBI e i suoi partner internazionali hanno sequestrato l’infrastruttura di Qakbot in Europa e negli Stati Uniti. Il Dipartimento di Giustizia degli Stati Uniti ha inoltre confiscato oltre 8,6 milioni di dollari in criptovaluta sottratta al gruppo Qakbot. L'operazione ha portato alla luce circa 700.000 dispositivi infettati da Qakbot, di cui oltre 200.000 negli Stati Uniti. Tuttavia, l'FBI ritiene che le vittime di Qakbot potrebbero essere milioni.
Sebbene l’FBI abbia inferto un duro colpo a Qakbot, esisteva la possibilità che la botnet potesse tornare in attività. A partire dal momento dello smantellamento, gli autori delle minacce affiliati a Qakbot sono stati individuati su , (si apre in una nuova scheda),e mentre distribuivano il ransomware Ransom Knight e il malware Remcos. Sebbene gli autori delle minacce non stiano diffondendo Qakbot in sé, sono comunque ancora attivi, il che significa che esiste la possibilità che decidano di ricostruire l’infrastruttura di Qakbot.
CTI continuerà a monitorare l'evoluzione della situazione.
2. Apprendimento automatico: un vettore di attacco emergente
Nell’ultimo anno si è assistito a un’esplosione di potenti servizi di chat basati sull’intelligenza artificiale e sull’apprendimento automatico — e questo è solo l’inizio di ciò che ci aspetta. Uno studio recente di Gartner rivela che il 70% delle organizzazioni si trova attualmente nella fase di “esplorazione” della ricerca e dell’analisi sull’intelligenza artificiale generativa . (si apre in una nuova scheda)
ChatGPT — che utilizza i modelli GPT-3,5 e GPT-4 di OpenAI — rimane uno degli strumenti di intelligenza artificiale più diffusi sul mercato, soprattutto grazie alla sua versatilità e alla sua facilità d’uso. L'adozione da parte delle aziende potrebbe aumentare ulteriormente nei prossimi mesi a seguito dell'annuncio di ChatGPT Enterprise, che secondo OpenAI rappresenta la versione più potente di ChatGPT mai realizzata. ChatGPT Enterprise (si apre in una nuova scheda) offre inoltre funzionalità di sicurezza e privacy di livello aziendale.
Tra gli altri chatbot basati sull’intelligenza artificiale che vale la pena conoscere figurano:
- Bing Chat, che utilizza il modello GPT-4 di OpenAI. Il nuovo Bing dispone di accesso a Internet e funziona come un motore di ricerca.
- Google Bard, basato su PaLM 2 e su una versione alleggerita di LaMDA.
- Claude, un modello LLM sviluppato da Anthropic e basato sull’Intelligenza Artificiale Costituzionale.
- di Perplexity AI, un chatbot connesso a Internet che utilizza i modelli GPT-3 e GPT-4.
- Jasper, un popolare chatbot per la scrittura basato su GPT-3,5.
Il dibattito in corso sulla sicurezza informatica in relazione all’apprendimento automatico
Come sottolineato dal CTI in seguito alla comparsa di ChatGPT alla fine del 2022, l’ security Community rimane divisa sul ruolo del ML nella sicurezza informatica. Alcuni lo definiscono il salvatore della sicurezza informatica, mentre altri nutrono profonde preoccupazioni riguardo al fatto che possa rappresentare un nuovo e pericoloso vettore di attacco.
Da un lato, i recenti progressi in questo settore consentono alle aziende di gestire e reagire più facilmente alle minacce emergenti. Ad esempio, Exabeam ha integrato le funzionalità di intelligenza artificiale generativ (si apre in una nuova scheda) nella propria piattaforma di gestione delle informazioni e degli eventi di sicurezza (SIEM) denominata “New-Scale”, consentendo agli utenti di classificare rapidamente le minacce, sintetizzare i rischi e individuare raccomandazioni per la risoluzione dei problemi. Attualmente sono disponibili molti altri servizi di sicurezza basati sull’intelligenza artificiale generativa (si apre in una nuova scheda) , tra cui Google Cloud Security AI Workbench, Microsoft Security Copilot e CrowdStrike Charlotte AI.
Tuttavia, sebbene il machine learning e l’intelligenza artificiale siano promettenti, si tratta ancora di tecnologie emergenti. È frequente che i sistemi di allerta basati sull’apprendimento automatico generino un numero eccessivo di falsi positivi e notifiche, creando difficoltà a chi si occupa della gestione degli incidenti. Inoltre, il significato e l’importanza di questi avvisi possono risultare difficili da interpretare.
Inoltre, i criminali informatici stanno prendendo sempre più di e di mira i modelli di intelligenza artificiale (si apre in una nuova scheda) ricorrendo a tattiche quali l’avvelenamento dei dati, il furto di modelli, la compromissione della catena di approvvigionamento e le backdoor nell’IA. Circa il 20% delle aziende ha subito attacchi ai modelli di IA di tipo “ ” o episodi di compromissione nell’ultimo anno, mentre il 49% dei responsabili della sicurezza è preoccupato dal fatto che gli autori delle minacce possano manomettere i modelli di IA e ML per aggirare le misure di protezione.
Alla luce di ciò, le aziende e i professionisti della sicurezza dovrebbero valutare l’adozione dell’intelligenza artificiale e dell’apprendimento automatico, pur riconoscendo la necessità di un approccio attento e strategico alla loro implementazione.
L'NSA annuncia un nuovo centro di sicurezza dedicato all'intelligenza artificiale
28 settembree, l’Agenzia per la Sicurezza Nazionale (NSA) ha annunciato la creazione di un nuovo centro per la sicurezza dell’intelligenza artificiale incaricato di supervisionare lo sviluppo e l’integrazione delle capacità di intelligenza artificiale all’interno dei sistemi di sicurezza nazionale degli Stati Uniti.
Secondo il Dipartimento della Difesa degli Stati Uniti, l’AI Security Center diventerà il punto di riferimento per lo sviluppo delle migliori pratiche in materia di intelligenza artificiale, delle metodologie di valutazione e dei quadri di riferimento per la gestione dei rischi.
Il centro promuoverà l’adozione in tutta sicurezza delle capacità emergenti nel campo dell’intelligenza artificiale in ambito di sicurezza nazionale e nella base industriale della difesa. Inoltre, consentirà di consolidare le attività dell’agenzia relative all’intelligenza artificiale e alla sicurezza.
3. ESXiArgs: Ancora in circolazione
Già nel mese di febbraio, CTI aveva lanciato l’allarme in merito alla campagna di ransomware ESXiArgs , che si stava diffondendo rapidamente. All’epoca, gli autori degli attacchi prendevano di mira attivamente i server ESXi di VMware — in particolare quelli privi di patch e vulnerabili alla vulnerabilità CVE-2021-21974.
A metà febbraio, oltre 500 host erano stati compromessi dal ceppo ESXiArgs di (si apre in una nuova scheda), con la maggior parte delle vittime in Francia, nei Paesi Bassi, in Germania, nel Regno Unito e in Ucraina.
Quali sono le novità di ESXiARGS?
ESXiArgs è ancora attivo e in espansione, pertanto è opportuno tenerlo sotto controllo. Le aziende che non hanno applicato le patch ai propri server ESXi continuano a correre il rischio di diventare vittime di attacchi.
VMware consiglia ai clienti di effettuare l'aggiornamento all'ultima versione supportata di vSphere (si apre in una nuova scheda) , ovvero " ", al fine di risolvere tutte le vulnerabilità segnalate. VMware raccomanda inoltre di disattivare il servizio OpenSLP in ESXi.
4. Il malware Bumblebee ritorna dopo una pausa di due mesi
A maggio, CTI ha segnalato che Google Ads sta diffondendo il nuovo malware Bumblebee . Gli autori delle minacce stanno utilizzando gli annunci pubblicitari di Google per promuovere versioni infettate da trojan dei programmi di installazione di applicazioni molto diffuse e per distribuire alle vittime il loader del malware Bumblebee.
È molto probabile che il team Conti abbia sviluppato Bumblebee per sostituire la backdoor BazarLoader, facilitando così agli autori delle minacce l’accesso alle reti e la distribuzione di ransomware e altri payload secondari. In alcune campagne recenti, il malware Bumblebee, che prende di mira le aziende, è stato diffuso tramite annunci pubblicitari su Google , ricorrendo al “SEO poisoning” per creare promozioni volte ad attirare gli utenti desiderosi di scaricare facilmente software popolari, quali Zoom, Citrix Workspace e Cisco AnyConnect.
L'ultima campagna pubblicitaria di Bumblebee
Dopo una pausa estiva, Bumblebee è tornata a settembre con una campagna che si avvale di nuove tecniche di distribuzione.
Secondo Bleeping Computer, Bumblebee sta attualmente sfruttando in modo improprio 4shared servizi WebDAV disponibili all’indirizzo (si apre in una nuova scheda). WebDAV è un'estensione del protocollo HTTP e consente ai client di eseguire operazioni di gestione remota, quali la creazione, l'accesso, l'aggiornamento e l'eliminazione dei contenuti di un server web.
Bleeping Computer riferisce che l’ultima campagna Bumblebee si avvale di e-mail di spam che si presentano come scansioni, fatture e notifiche. La campagna mira a indurre i destinatari a scaricare allegati dannosi. La maggior parte degli allegati è costituita da file LNK, ovvero collegamenti di tipo “ Windows ”. Tuttavia, vi sono anche alcuni archivi ZIP contenenti file LNK — il che significa che gli operatori di Bumblebee stanno molto probabilmente sperimentando per individuare l’approccio migliore.
Gli analisti hanno inoltre individuato una versione aggiornata del loader del malware Bumblebee nell’ambito di questa campagna. Il caricatore è passato dal protocollo WebSocket al protocollo TCP per le comunicazioni relative al C2 . Inoltre, il nuovo caricatore non utilizza più gli indirizzi C2 fissati in modo rigido. Utilizza invece un algoritmo di generazione di domini per creare 100 domini nello spazio del TLD “.life” dopo l’esecuzione.
Da Bleeping Computer:
I domini vengono generati utilizzando un valore di seme statico a 64 bit e Bumblebee si connette ad essi scorrendo l'elenco creato fino a quando non ne individua uno che rimanda a un indirizzo IP attivo di un server C2 .
Bumblebee è stato in precedenza associato alla distribuzione di payload di ransomware, tra cui Conti e Akira; pertanto, l’adozione di un canale di distribuzione più efficiente e difficile da individuare rappresenta uno sviluppo preoccupante.
Inoltre, l’adozione di DGA rende più difficile mappare l’infrastruttura di Bumblebee, bloccare i suoi domini e comprometterne in modo significativo le operazioni, aggiungendo ulteriore complessità all’attuazione di misure preventive contro il loader del malware.
5. Andariel impiega numerose varianti di malware nei propri attacchi
A July CTI update explained how the North Korea-backed threat actor tracked as Andariel deployed EarlyRat malware during 2022 in a series of cyberattacks exploiting the Log4j vulnerability.
Andariel — noto anche come Silent Chollima e Stonefly — è un sottogruppo dell’attore APT nordcoreano Lazarus Group. Il gruppo conduce regolarmente operazioni di spionaggio informatico rivolte a enti governativi e militari stranieri di interesse strategico per la Corea del Nord. Andariel genera principalmente entrate e sostiene le operazioni militari del governo nordcoreano.
Tra gli obiettivi principali di Andariel figurano istituzioni finanziarie, appaltatori del settore della difesa, università, agenzie governative, società energetiche e fornitori di soluzioni per la sicurezza informatica.
I ricercatori lanciano un nuovo allarme su Andariel
Andariel è stato recentemente individuato mentre utilizzava vari strumenti e tattiche dannose in attacchi informatici di tipo “ ” contro le organizzazioni prese di mira. (si apre in una nuova scheda)
Ad esempio, il gruppo ricorre allo spear-phishing, agli attacchi alla catena di approvvigionamento e alle tecniche “watering hole” per lanciare i propri payload. Andariel utilizza inoltre una combinazione di famiglie di malware quali Gh0st RAT, NukeSped, DTrack, YamaBot, Phandoor, Rifdoor, Andarat, TigerRAT (insieme al suo successore MagicRAT) e Andaratm. Inoltre, il gruppo sta utilizzando nuove varianti quali Black RAT, Goat RAT, AndarLoader e DurianBeacon. Black RAT e Goat RAT sono scritti in Go, mentre AndarLoader è scritto in .NET. DurianBeacon utilizza Go e Rust.
Dal Centro di risposta alle emergenze di sicurezza di AhnLab (ASEC):
Il gruppo Andariel è uno dei gruppi di cyber-minaccia più attivi che prendono di mira la Corea, insieme a Kimsuky e Lazarus. All’inizio il gruppo sferrava attacchi per ottenere informazioni relative alla sicurezza nazionale, ma ora conduce attacchi a scopo di lucro.
Per un’analisi approfondita delle più recenti attività di attacco di Andariel, vi invitiamo a consultare il rapporto completo di ASEC (si apre in una nuova scheda).
6. Il ransomware rimane una delle principali minacce per le aziende
In un rapporto pubblicato a luglio, CTI ha rivelato come gli attacchi ransomware e i relativi pagamenti stiano aumentando vertiginosamente ; i ricercatori hanno infatti osservato un aumento generale del numero di pagamenti andati a buon fine, sia di importo elevato che modesto. Secondo Chainalysis, il ransomware è sulla buona strada per superare i record precedenti.
Da BleepingComputer (si apre in una nuova scheda):
"Il ransomware è l'unica forma di criminalità legata alle criptovalute in aumento finora nel 2023", si legge nel rapporto di Chainalysis. “In effetti, gli autori degli attacchi ransomware sono sulla buona strada per registrare il secondo anno più redditizio di sempre, avendo estorto almeno 449,1 milioni di dollari fino a giugno.
Il fenomeno del ransomware continua a diffondersi sempre più rapidamente
Da una ricerca condotta da Coalition, fornitore di assicurazioni contro i rischi informatici, emerge che i pagamenti relativi al ransomware “ ” (si apre in una nuova scheda) sono aumentati del 12% su base annua nel 2023.
Le richieste di riscatto relative al ransomware rappresentano ormai circa un quinto del totale delle richieste di risarcimento, rendendolo il fattore più rilevante in termini di numero di richieste presentate. Anche le richieste di riscatto relative al ransomware sono aumentate del 27% nel corso del primo semestre del 2023. Il costo dei sinistri è aumentato del 42% nel corso del primo semestre dell’anno, con i richiedenti che hanno dichiarato una perdita media superiore a 115.000 dollari.
Di seguito sono riportati alcuni recenti attacchi ransomware degni di nota:
- Johnson Controls (si apre in una nuova scheda) è stata recentemente vittima di un grave attacco informatico, nel corso del quale il gruppo di ransomware Dark Angels è riuscito a sottrarre 27 TB di dati.
- Le informazioni di migliaia di pazienti sono state sottratte a seguito di un attacco ransomware di tipo “ ” (si apre in una nuova scheda) che ha causato il blocco dei computer in due ospedali del Connecticut, tra cui il Waterbury Health e il Prospect Medical Holdings.
- La contea di Rock, nel Wisconsin (si apre in una nuova scheda) è stata costretta a mettere fuori servizio alcuni dei propri sistemi a seguito di un attacco ransomware ai danni del proprio dipartimento di sanità pubblica.
Di tendenza: attacchi con doppio ransomware
L’FBI sta ora mettendo in guardia da una tendenza in aumento nota come attacchi “ ” a doppio ransomware (si apre in una nuova scheda), in cui gli autori delle minacce conducono attacchi distinti a poche ore o pochi giorni di distanza l’uno dall’altro.
Da Dark Reading:
Questi attacchi ransomware colpiscono la stessa vittima in un breve lasso di tempo e, nella realtà, si sono verificati con gli autori delle minacce che hanno impiegato diverse varianti di ransomware per ciascuna fase degli attacchi, quali AvosLocker, Diamond, Hive Karakurt, LockBit, Quantum e Royal. Queste varianti vengono diffuse in diverse combinazioni doppie, dando luogo, in ultima analisi, a un mix di crittografia dei dati, esfiltrazione e estorsione.
Le organizzazioni si trovano in difficoltà nel decidere se pagare o meno il riscatto richiesto dai ransomware
La maggior parte degli esperti di sicurezza informatica sconsiglia di effettuare pagamenti ai ricattatori, poiché le aziende che pagano il riscatto sono più esposte al rischio di subire ulteriori attacchi. Inoltre, i pagamenti effettuati a titolo di riscatto possono anche sostenere e favorire le organizzazioni criminali e i gruppi dediti all’estorsione.
Tuttavia, non è sempre possibile per le aziende evitare di effettuare i pagamenti. Come ha recentemente spiegato Lorraine Dryland, CISO di First Sentier Investors, in occasione del Gartner Security & Risk Management Summit, i CISO hanno spesso difficoltà a impedire ai dirigenti di pagare i riscatti.
«Costringere un dirigente a seguire quella strada non può che portare a risultati negativi ed esperienze spiacevoli, poiché si tratta di persone molto determinate: non sono arrivate dove sono perché tendono a tirarsi indietro, ma perché vorranno prendere una decisione», ha spiegato Dryland.
Dryland raccomanda di utilizzare un sistema di valutazione " " (si apre in una nuova scheda) che consente ai dirigenti di calcolare i rischi connessi alle loro scelte. Tuttavia, il pagamento dovrebbe sempre rappresentare l’ultima risorsa.
La Casa Bianca sta valutando la possibilità di vietare i pagamenti ai autori di ransomware
Diversi Stati hanno già vietato alle autorità locali di pagare gli autori degli attacchi ransomware. Attualmente, la Casa Bianca sta valutando l’adozione di un divieto federale relativo ai pagamenti in caso di attacchi ransomware (si apre in una nuova scheda) al fine di ridurre gli incentivi finanziari per i criminali informatici. Se venisse approvata, questa politica impedirebbe alle aziende di effettuare pagamenti ai autori di ransomware per recuperare i dati crittografati.
I sostenitori sostengono che ciò eserciterebbe una maggiore pressione sui vertici aziendali affinché prevengano e reagiscano alle violazioni dei dati e rendano la sicurezza informatica una responsabilità condivisa. Tuttavia, un divieto nazionale di pagare i riscatti in caso di attacchi ransomware, come quello previsto dalla legge “ ” (si apre in una nuova scheda) , potrebbe anche creare confusione tra i titolari di piccole imprese e fornire ai criminali informatici un’ulteriore leva per continuare a ricattare le aziende che violano le norme. Allo stesso tempo, gli autori degli attacchi potrebbero concentrare la propria attenzione sulle vittime che si sentono costrette a pagare.
A questo punto, non è chiaro se il governo federale intenda portare avanti un piano volto a limitare i pagamenti ai responsabili degli attacchi ransomware. Si tratta di una vicenda che vale la pena seguire nei prossimi mesi.
7. Il APT29 continua a rappresentare una minaccia crescente
A luglio, CTI ha riferito che il gruppo APT29 (noto anche come Nobelium e Cozy Bear), un gruppo di attacchi persistenti avanzati (APT) sostenuto dalla Russia e facente parte dell’ , sta ora utilizzando servizi affidabili come Google Drive e Dropbox per eludere il rilevamento, distribuire malware e strumenti di hacking ed esfiltrare dati.
È molto probabile che l’organizzazione APT29 operi su incarico del Servizio di intelligence estero russo (SVR). La motivazione principale del gruppo è lo spionaggio; ad esso vengono attribuite sofisticate ed efficaci campagne di spear-phishing rivolte a enti governativi, militari e diplomatici che sembrano allinearsi con lo Stato e gli interessi del governo russo.
Il gruppo è noto per la diffusione di e-mail e documenti di phishing su temi di politica estera e per reindirizzare le vittime verso siti web fasulli al fine di infettarle con backdoor. I ricercatori hanno inoltre osservato di recente che il gruppo utilizzava una pubblicità automobilistica della BMW per prendere di mira i diplomatici dell’ e a Kiev (si apre in una nuova scheda).
Le ultime notizie su APT29
Nel 2023, l’unità APT29 ha intensificato la portata e la frequenza dei propri attacchi di spionaggio, mentre il Cremlino cerca ulteriori informazioni per sostenere la propria guerra “ ” contro l’Ucraina (si apre in una nuova scheda).
La Cyber Risk Alliance riferisce che APT29 ha apportato modifiche sostanziali per aumentare l’efficienza ed eludere il rilevamento. Inoltre, l’unità APT29 ha intensificato le operazioni di spionaggio di routine nei confronti di entità diplomatiche a livello mondiale. Il gruppo sta ora concentrando la propria attenzione sui ministeri degli Affari esteri e sulle ambasciate europee, pur continuando a condurre operazioni volte a promuovere gli interessi globali della Russia.
Secondo Mandiant, APT29 sta proseguendo la propria campagna di accesso iniziale , mirata ai servizi cloud di Microsoft (si apre in una nuova scheda), e sta evolvendo le proprie TTP. Ad esempio, quest’anno APT29 ha iniziato a ospitare payload di prima fase su servizi web compromessi.
«La migrazione del payload di prima fase sul lato server ha probabilmente garantito a APT29 un maggiore grado di controllo sulla propria catena di distribuzione del malware e ha consentito al gruppo di agire con maggiore discernimento riguardo all’esposizione delle proprie capacità nelle fasi successive», hanno affermato i ricercatori dell’ Mandiant.
A marzo il gruppo ha aggiunto un ulteriore livello di occultamento alla campagna, avvalendosi di TinyURL per creare link di phishing dannosi. I ricercatori hanno inoltre osservato per la prima volta APT29 casi di incorporazione di Rootsaw in un file PDF.
Il APT29 è ancora in circolazione e sta diventando sempre più pericoloso. Mentre la guerra in Ucraina continua a inasprirsi, è possibile che il gruppo APT29 e altre organizzazioni simili possano intensificare ulteriormente i propri sforzi.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
