Nella rassegna di questa settimana, CTI analizza il modo in cui gli autori delle minacce inseriscono date fuorvianti nell’oggetto delle e-mail di phishing relative all’ per influenzare le emozioni dei destinatari. Di seguito, CTI illustra i quattro errori più comuni che gli utenti commettono nell’uso delle password e spiega in che modo gli hacker possano trarne vantaggio. Infine, CTI fornisce un aggiornamento sul gruppo di criminali informatici Earth Estries e sulla sua più recente campagna di spionaggio informatico.
1. Gli autori delle minacce utilizzano date fuorvianti negli oggetti delle e-mail di phishing
Un recente articolo pubblicato sul blog di Cofense rivela come gli autori delle minacce stiano inserendo date fuorvianti nell’oggetto delle e-mail di phishing con il titolo “ ” (si apre in una nuova scheda). L'analisi evidenzia inoltre alcune tendenze interessanti relative alle righe dell'oggetto che contengono date e ai sottosettori di riferimento.
Il rapporto tra i soggetti che riportano le date e quelli che non le riportano
L'analisi è iniziata esaminando i soggetti che presentavano date in qualsiasi formato. Tra questi figuravano argomenti relativi a fax in ritardo, messaggi vocali non ascoltati, fatture scadute, buste paga e altre questioni che richiedevano un intervento immediato. Il numero di e-mail con date nell'oggetto variava a seconda del sottosettore.
La materia con la percentuale più elevata di argomenti obsoleti è stata quella relativa al trasporto ferroviario, con il 48%. A seguire, a breve distanza, si collocano il settore petrolifero e quello del gas, con il 45%. I settori con la percentuale più bassa sono stati quello immobiliare e quello del commercio all’ingrosso, entrambi al 13%. Ogni sottosettore presentava una data in circa il 31% dei soggetti.
Analizzando in modo approfondito queste e-mail che riportavano delle date nell’oggetto, Cofense le ha ulteriormente suddivise in base alle date stesse. Le categorie sono state definite in base alla data relativa al momento in cui si è effettuato l'accesso all'e-mail.
La prima categoria, quella delle e-mail precedenti, comprendeva messaggi in cui la data indicata nell’oggetto era successiva al giorno in cui l’e-mail era stata consultata. La seconda categoria, quella delle e-mail puntuali, comprendeva i messaggi in cui la data indicata nell’oggetto corrispondeva al giorno in cui si è effettuato l’accesso all’e-mail. L'ultima categoria, quella delle e-mail in ritardo, comprendeva le e-mail in cui la data indicata nell'oggetto era precedente al giorno in cui l'e-mail è stata consultata.
- Prime e-mail: . Solo pochi autori di minacce hanno inviato e-mail con date nell’oggetto successive al giorno in cui sono state consultate. I soggetti iniziali rappresentavano solo il 2% di tutti i soggetti che riportavano una data. Secondo Cofense, la maggior parte di queste e-mail è dovuta a errori e configurazioni errate da parte degli autori delle minacce.
- E-mail puntuali: Le e-mail con oggetto contenente la data corrispondente al giorno in cui l’e-mail è stata consultata rappresentavano il secondo caso più frequente. In media, nei sottosettori il 31% dei soggetti presentava date coincidenti con il giorno in cui sono state consultate le e-mail. Queste e-mail erano quelle più personalizzate: il 58% degli oggetti presentava infatti un qualche tipo di contenuto personalizzato o dati personali identificativi (PII) che richiedevano l’occultamento. Il tema più diffuso era costituito da argomenti orientati all’azione, probabilmente nel tentativo di suscitare una reazione immediata da parte del destinatario.
- E-mail in ritardo: La categoria più comune di e-mail è quella delle e-mail il cui oggetto riporta una data precedente a quella in cui l’e-mail è stata consultata. Ciò rischia di alimentare un falso senso di urgenza, avvisando le vittime che una scadenza è già trascorsa e che sono già in ritardo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il punto fondamentale è che gli autori delle minacce utilizzano le date nell’oggetto delle e-mail per creare un senso di urgenza e indurre il destinatario a rispondere o a interagire.» "Non si tratta di una novità."
"La novità consiste nella suddivisione della data che l'autore della minaccia sceglie di utilizzare. È interessante notare che la maggior parte di queste e-mail di phishing riporta nell’oggetto una data precedente a quella in cui si aprirebbe l’e-mail. Questo vi mette davvero a dura prova dal punto di vista mentale, poiché la vostra reazione immediata è quella di pensare di aver tralasciato qualcosa o di aver dimenticato di fare qualcosa.”
2. Quattro errori comuni da evitare nella scelta delle password
Specops, fornitore di soluzioni per la sicurezza delle password, ha illustrato in dettaglio quelli che ritiene essere i quattro errori più comuni commessi dagli utenti nell’uso delle password — e in che modo gli hacker possano trarne vantaggio.
Secondo Specops, questi errori comuni nell’uso delle password si verificano perché il nostro cervello è abile nel completare gli schemi. Ciò ci conferisce una naturale affinità per gli schemi che risultano piacevoli o facili da ricordare.
Errore n. 1: Termini di base comuni
Gli utenti tendono a cercare una parola di base quando creano una password. Sebbene una parola di base scelta a caso possa sembrare innocua, queste parole di base sono raramente davvero casuali e rivestono un’importanza maggiore di quanto spesso ci rendiamo conto.
Spesso gli utenti modificano in modo incrementale la stessa parola di base in occasione delle normali operazioni di reimpostazione o scadenza delle password, al fine di aggirare i requisiti predefiniti relativi alla cronologia delle password o alle impostazioni di complessità. In “Specops” si osserva spesso che gli utenti scrivono la prima lettera di questa parola di base in maiuscolo e/o aggiungono caratteri speciali alla fine.
Gli autori delle minacce sanno bene che non è necessario violare la password più complessa per accedere a un’organizzazione. Possono invece violare una password debole e spostarsi lateralmente. Sfrutteranno termini di base comuni nell’ambito di un attacco noto come “attacco a dizionario”, in cui utilizzeranno un elenco predefinito di termini di base vulnerabili per indovinare le password. Questo attacco è semplice ma spesso efficace, poiché le persone tendono a utilizzare password semplici e familiari.
Da una precedente analisi condotta da Specops su milioni di password emerge che il termine di base più comune è “password”. Tra gli altri termini di base più comuni figurano “admin” e “welcome”. Poiché utilizziamo spesso parole di base che hanno una certa rilevanza nella nostra vita quotidiana, i social media rappresentano una vera e propria miniera d’oro per gli autori delle minacce. Gli autori delle minacce possono utilizzare i profili sui social media per prendere di mira individui specifici e possono facilmente venire a conoscenza di informazioni quali date di nascita, cognomi, nomi di animali domestici e luoghi significativi che potrebbero essere utilizzati come parola di base in una password.
Errore n. 2: password troppo breve
Gli autori delle minacce devono ancora fare i conti con una grande varietà di combinazioni quando cercano di indovinare le password, anche quelle composte da termini di base poco sicuri. Possono ricorrere a tecniche di forza bruta per provare tutte le possibili combinazioni di password fino a individuare quella corretta. Gli attacchi di forza bruta sono particolarmente efficaci contro le password brevi e lo sono ancora di più nel caso di password brevi che iniziano con un termine di base comune.
Specops ha rilevato che il 88% delle password compromesse emerse dalla propria ricerca era composto da 12 caratteri o meno. L'imposizione di una lunghezza maggiore per le password può costituire una difesa efficace contro questi attacchi.
Errore n. 3: Schemi di spostamento con la tastiera
Un errore relativo alle password di cui si parla meno spesso riguarda i “percorsi sulla tastiera”, ovvero password ispirate essenzialmente alla disposizione dei tasti.
Un esempio di ciò è rappresentato dalla parola QWERTY, che costituisce una “sequenza di tasti” facile da ricordare per l’utente. Specops ha rilevato che la sequenza “qwerty” è stata individuata oltre un milione di volte nelle password, a riprova di quanto siano diffuse le sequenze casuali digitate sulla tastiera.
Sebbene le sequenze digitate sulla tastiera possano non costituire parole vere e proprie, possono comunque essere utilizzate negli attacchi basati sui dizionari. Gli autori delle minacce cercano costantemente di comprendere come e perché le persone agiscano in un determinato modo, in modo da poter sfruttare al meglio tali informazioni e pianificare i propri attacchi. Poiché le sequenze casuali di tasti sono prevedibili, talvolta vengono incluse nell’elenco delle password probabili che vengono poi utilizzate negli attacchi a dizionario.
Errore n. 4: riutilizzo delle password
Anche le password complesse possono essere compromesse, il che diventa un problema ancora più grave se quella stessa password viene riutilizzata per diverse applicazioni. Le ricerche indicano che il 65% delle persone riutilizza le password — un fatto che gli autori delle minacce conoscono fin troppo bene.
Il riutilizzo delle password è uno dei motivi principali per cui molti autori di minacce si concentrano sul furto di credenziali e sulla vendita di tali password, poiché una password sottratta da un’applicazione potrebbe essere sfruttata altrove.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Una corretta gestione delle password è sempre stata importante, ma sta assumendo un’importanza ancora maggiore man mano che il panorama delle minacce continua a evolversi. E finché il mondo intero non passerà a un sistema senza password grazie a tecnologie emergenti come Entra ID, Duo o KelvinZero, ciascuno di noi ha un ruolo da svolgere nella protezione di sé stesso e delle proprie organizzazioni attraverso una corretta gestione delle password.
La crescente diffusione degli infostealer è un esempio lampante del motivo per cui dovremmo essere più cauti che mai nella scelta delle nostre password. Si parla molto del futuro dell’autenticazione senza password, ma probabilmente ci vorrà un po’ di tempo prima che questo cambiamento avvenga. Nel frattempo, probabilmente tutti noi potremmo migliorare (o almeno prestare maggiore attenzione) nella creazione e nella gestione delle password.
3. Earth Estries si rivolge ai governi e alle aziende tecnologiche di tutto il mondo
Il gruppo di criminali informatici “ ” (Earth Estries) (si apre in una nuova scheda) è stato identificato come responsabile di una nuova campagna di spionaggio informatico rivolta ai settori governativi e tecnologici nelle Filippine, a Taiwan, in Malesia, in Sudafrica, in Germania e negli Stati Uniti. L’autore della minaccia opera attivamente avvalendosi di risorse di alto livello e dispone di competenze ed esperienza sofisticate.
Procedura standard in caso di infezione
- Earth Estries compromette gli account esistenti dotati di privilegi amministrativi dopo aver infettato con successo un server interno.
- L'operazione ha installato sul sistem , Cobalt Strike , prima di distribuire ulteriore malware ed eseguire movimenti laterali. SMB e WMIC sono stati utilizzati per diffondere varie backdoor e strumenti di hacking ad altri computer presenti nell'ambiente.
- L'autore dell'attacco ha preso di mira file PDF e DDF destinati all'archiviazione, che sono stati caricati su archivi di storage online quali AnonFiles o File.io tramite curl.exe.
- Earth Estries puliva regolarmente la propria backdoor esistente al termine di ogni ciclo dell’operazione, reinstallando un nuovo malware all’inizio di un nuovo ciclo.
Backdoor Earth Estries e strumenti di hacking
Nel corso di questa campagna, Earth Estries è stato rilevato mentre utilizzava vari strumenti, tra cui programmi per il furto di informazioni, programmi per il furto di dati dal browser, scanner di porte e altro ancora.
Trend Micro (si apre in una nuova scheda) illustra gli strumenti di recente scoperta e degni di nota utilizzati in questa campagna.
- Zingdoor: Zingdoor è una backdoor HTTP scritta in Go, individuata per la prima volta in aprile 2023, sebbene alcuni log indichino che tale backdoor sia in circolazione già dalla metà del 2022. Questa backdoor si riscontra raramente in ambiente reale, ma è compressa con UPX ed è fortemente offuscata. In questa campagna, il codice era camuffato come mpclient.dll ed era stato progettato per essere eseguito tramite il sideloading di DLL, sfruttando in modo improprio un file binario di Windows Defender, MsSecEs.exe. Il processo padre corrente verrà registrato come servizio “ Windows ” con il nome MsSecEsSvc a fini di persistenza. Inoltre, si collegherà e attenderà un comando dal server C2 . È in grado di ottenere informazioni di sistema, informazioni sui servizi di Windows , gestire i dischi ed eseguire comandi arbitrari.
- TrillClient: TrillClient è un programma di furto di informazioni progettato per sottrarre dati dal browser. Si installa come servizio “ Windows ” denominato “Net Connection”, crea un elenco di vittime in base all’ID della vittima inserito, si avvia tramite l’avvio dei servizi e completa il processo di installazione eliminando il servizio stesso. Si collega a un repository GitHub predefinito per recuperare il comando relativo alle sue azioni successive. È in grado di raccogliere le credenziali del browser e di pianificare un’attività per la raccolta delle credenziali del browser.
- HemiGate: HemiGate è una backdoor che viene eseguita tramite il sideloading di una DLL. Viene eseguito in tre istanze. La prima istanza viene avviata senza parametri e il suo scopo principale è quello di configurare i meccanismi di avvio ed eseguire la seconda istanza prima di terminare. La seconda istanza ha il compito di leggere il file di configurazione e di comunicare con il server C2 prima di comunicare con la terza istanza. La terza istanza esegue un keylogger e riceve/esegue i comandi trasmessi dalla seconda istanza.
Vittimologia
Earth Estries concentra i propri attacchi contro organizzazioni legate al governo e aziende tecnologiche. Si sono verificati attacchi nelle Filippine, a Taiwan, in Malesia, in Sudafrica, in Germania e negli Stati Uniti.
I ricercatori hanno inoltre osservato traffico di rete verso C2 server in Canada e rilevamenti relativi a suite di strumenti in India e a Singapore.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questa campagna si inserisce nella tendenza degli autori delle minacce a sfruttare servizi pubblici quali GitHub, AnonFiles e File.io nell’ambito delle loro operazioni.»
"Il gruppo sembra essere piuttosto sofisticato, poiché nella sua ultima campagna fa uso di diverse nuove backdoor e strumenti di hacking." Trend Micro sottolinea che Earth Estries è specializzata in campagne di spionaggio informatico. Tenendo presente ciò, il suo raggio d’azione, che coinvolge diversi paesi in tutto il mondo, è molto ampio.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
