Uno dei modi più efficaci per introdurre malware in un’organizzazione presa di mira consiste nello sfruttare una delle numerose relazioni di fiducia che essa intrattiene con i fornitori di software. È così che gli hacker russi hanno compromesso diverse agenzie governative statunitensi nel corso della famigerata campagna SolarWinds dell’ : (si apre in una nuova scheda). Ed è proprio per questo che i clienti della popolare applicazione desktop 3CX per chiamate vocali e videochiamate dovrebbero stare in allerta.
Un gruppo sospettato di appartenere alla Corea del Nord è riuscito a inserire di nascosto una backdoor negli aggiornamenti firmati digitalmente dell’applicazione e, successivamente, ad attivare un malware di seconda fase per sottrarre dati da obiettivi specifici. Come sempre, il tempo è fondamentale: le organizzazioni dei clienti dovrebbero individuare e correggere quanto prima le versioni del software interessate.
Che cos’è il 3CX?
3CX (si apre in una nuova scheda) è un fornitore di servizi VoIP e PBX che dichiara di avere oltre 12 milioni di utenti e più di 600.000 clienti aziendali in 190 paesi in tutto il mondo — tra cui marchi di grande fama quali Mercedes-Benz e PwC.
L'applicazione 3CX DesktopApp dell'azienda è stata presa di mira da soggetti malintenzionati — , in particolare le versioni (si apre in una nuova scheda) Electron Windows delle app 18,12,407 e 18,12,416 e le versioni Mac delle app 18,11,1213, 18,12,402, 18,12,407 e 18,12,416.
Qual è stata la causa dell’incidente?
Secondo 3CX, i payload dannosi sono stati inseriti nelle librerie incluse nel pacchetto e compilate tramite Git. Ciò fa supporre che la causa fosse da ricercarsi in un repository open source compromesso utilizzato dagli sviluppatori dell’azienda. Secondo quanto riportato da (si apre in una nuova scheda) , il problema avrebbe potuto essere individuato già in fase di sviluppo, poiché erano presenti segni evidenti di manomissione.
In ogni caso, la minaccia non è stata individuata a monte in questa fase iniziale, e sia la versione per Windows che quella per macOS del file App erano firmate digitalmente con la chiave di firma ufficiale 3CX . Le versioni per macOS sono state addirittura autenticate da Apple, il che significa che il colosso tecnologico di Cupertino non ha Detect rilevato alcuna attività dannosa.
Che cosa è successo?
Poiché erano dotate di firma digitale, le app infettate da trojan riuscivano a eludere la maggior parte delle difese perimetrali. Gli aggressori hanno inoltre adottato altre misure per evitare di far scattare gli allarmi. Secondo quanto riferito, i programmi di installazione compromessi sia per la versione Windows che per quella macOS contenevano file integri (si apre in una nuova scheda), ovvero versioni perfettamente funzionanti del App. Gli autori dell'attacco hanno quindi utilizzato una tecnica di sideloading delle DLL per aggiungere un payload aggiuntivo destinato a vittime selezionate. Questo payload è stato crittografato per evitare di essere rilevato e ha indotto il computer infetto a connettersi a un server controllato dall'autore dell'attacco per scaricare il malware di seconda fase.
Inizialmente si riteneva che il payload finale fosse stato progettato per sottrarre informazioni critiche dal browser di un computer infetto, il che indicava che si trattasse di una campagna mirata di spionaggio informatico. Secondo quanto riportato (si apre in una nuova scheda) , parte del codice rinvenuto nel malware corrisponde “byte per byte” a quello utilizzato dal famigerato gruppo Lazarus, legato al regime nordcoreano. Tuttavia, prove più recenti suggeriscono che l’obiettivo finale potesse essere quello di introdurre una backdoor modulare, denominata “Gopuram”, su un numero limitato di computer. Al momento della stesura del presente articolo, meno di 10 società operanti nel settore delle criptovalute sono state prese di mira in questo modo. Ciò potrebbe far supporre che gli attacchi abbiano una motivazione finanziaria.
In che modo “ Tanium ” può esservi d’aiuto
3CX ha esortato (si apre in una nuova scheda) tutti i clienti interessati a:
- Disinstallare l'applicazione desktop 3CX Electron da tutti i computer con sistema operativo Windows o macOS
- Proseguire la scansione AV/EDR a alla ricerca di potenziali malware, utilizzando le firme più recenti disponibili
- Passa al client web 3CX’s PWA App
Tanium può aiutare le organizzazioni a individuare rapidamente le versioni interessate dei 3CX App e gli indicatori di compromissione. Esistono diversi modi per farlo:
Tanium Interact (si apre in una nuova scheda) consente di identificare l’applicazione desktop 3CX in un ambiente Windows utilizzando la seguente query: “Recupera le applicazioni installate il cui nome contenga ‘ 3CX Desktop App’ da tutti i computer in cui il nome delle applicazioni installate contenga ‘ 3CX Desktop App’.”
Tanium Threat Response (si apre in una nuova scheda) consente di importare le regole di YARA per identificare il malware utilizzato in questo attacco. Man mano che vengono individuati, gli hash dei file vulnerabili possono essere aggiunti anche all’indirizzo Tanium Threat Response.
