Nella rassegna di questa settimana, CTI analizza in che modo gli autori delle minacce stiano sfruttando le pagine mobili accelerate (AMP) di Google per aggirare le misure di sicurezza della posta elettronica e accedere alle credenziali di accesso dei dipendenti. Si passerà ora ad analizzare in che modo gli autori delle minacce stiano sfruttando una vulnerabilità nei servizi di posta elettronica di Salesforce e nei server SMTP per lanciare una sofisticata campagna di phishing rivolta agli account Facebook. Infine, CTI esamina un rapporto che collega l’attore russo BlueCharlie a quasi 100 nuovi domini.
1. Gli autori delle minacce sfruttano l’AMP ( Google ) per sferrare attacchi di phishing evasivi
Secondo Cofense, un numero crescente di campagne di phishing sta sfruttando l’AMP per aggirare le misure di sicurezza della posta elettronica. Tali campagne inseriscono URL AMP del sito Google nelle e-mail di phishing e sfruttano la buona reputazione del dominio Google .
Google AMP: Una panoramica
Google AMP è un framework HTML open source per la creazione di siti web ottimizzati per l'utilizzo su dispositivi mobili. Le pagine web sono visibili su Google Search e possono inoltre avvalersi di Google AMP Cache e Google Analytics per monitorare le interazioni degli utenti. Le pagine web create tramite Google AMP vengono inizialmente ospitate su un Google AMP URL , ad esempio google.com/amp/s/or google.co.uk/amp/s/.
Gli autori delle minacce stanno ora ospitando pagine web dannose utilizzando il percorso AMP URL ( Google ) all’interno delle loro e-mail di phishing, con l’intento di sottrarre le credenziali di accesso dei dipendenti. Poiché gli URL sono ospitati su domini legittimi Google , può risultare difficile per gli strumenti di sicurezza della posta elettronica Detect la natura dannosa di tali e-mail.
Questa tendenza delle campagne che sfruttano in modo improprio l’AMP ( Google ) sembra aver registrato un’accelerazione nel mese di maggio e da allora è rimasta presente nel panorama delle minacce. Cofense ha rilevato un cambiamento di strategia su 15 giugno, in cui è stato utilizzato google.co.uk all’interno degli URL AMP di Google . L'idea di fondo è la stessa, ma il sito URL è ospitato su un dominio di primo livello britannico (UK TLD) Google . Tra gli URL AMP Google rilevati da Cofense, è emerso che il 77% era ospitato su google.com, mentre il resto era ospitato sul dominio di primo livello britannico Google.
Gli autori delle minacce utilizzano una combinazione di TTP
Gli autori delle minacce stanno utilizzando questa nuova tattica AMP ( Google ) insieme a metodi collaudati che contribuiscono all’efficacia di un’e-mail di phishing.
Le seguenti tecniche, procedure e pratiche (TTP) sono state rilevate in una serie di e-mail di phishing che utilizzano URL AMP del sito Google come collegamenti incorporati:
- Domini attendibili: La strategia AMP è efficace poiché ospita un URL su un dominio attendibile come Google. Ciò complica l'analisi automatizzata e rende difficile il blocco di tali siti.
- E-mail di phishing basate su immagini: Molte delle e-mail rilevate da Cofense nell’ambito di questa campagna sono basate su immagini, il che significa che non contengono il corpo tradizionale di un’e-mail, ma presentano invece un’immagine in formato HTML. Queste possono risultare più difficili da Detect rispetto alle e-mail di solo testo, poiché l’immagine può aggiungere ulteriori elementi di disturbo all’interno dell’intestazione.
- URL reindirizzamento: URL Il reindirizzamento è una tattica molto diffusa per ostacolare l’analisi delle e-mail, specialmente quando all’interno di una singola catena di attacchi di phishing sono presenti più reindirizzamenti. In un caso rilevato da Cofense, il reindirizzamento era ospitato su Microsoft.com e, al contempo, reindirizzava al dominio AMP Google . Ciò ha conferito un ulteriore livello di falsa legittimità.
- CAPTCHA di Cloudflare: Anche l’uso improprio del CAPTCHA è diventato una tattica anti-analisi molto diffusa ed è stato osservato nella campagna di phishing AMP Google . Il servizio di sicurezza del dominio legittimo richiede un intervento manuale prima di raggiungere il sito dannoso finale URL.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’utilizzo di URL AMP ( Google ) nelle campagne di phishing rappresenta certamente un’evoluzione e dimostra ancora una volta che gli autori delle minacce sono costantemente alla ricerca di modi per affinare le proprie tecniche.»
"Google Gli URL AMP hanno un percorso comune e il loro blocco limiterebbe anche tutti i casi legittimi di URL AMP del tipo Google , rendendo difficile la protezione dalle e-mail di phishing. “Segnalare o avvisare in merito a questi domini può essere d’aiuto, ma in definitiva è fondamentale sensibilizzare gli utenti sulle più recenti minacce di phishing.”
2. Gli hacker sfruttano i servizi di posta elettronica di Salesforce in una campagna di phishing mirata su Facebook
Gli hacker stanno attualmente sfruttando una vulnerabilità denominata “ ” nei servizi di posta elettronica di Salesforce, in particolare nei server (si apre in una nuova scheda),, e SMTP , per lanciare una sofisticata campagna di phishing mirata agli account Facebook.
Le e-mail sembrano provenire da Meta, ma in realtà hanno origine da un dominio di posta elettronica di Salesforce. Da allora i ricercatori hanno collaborato con Salesforce per risolvere e correggere la vulnerabilità.
Dettagli della campagna
Guardio Labs ha analizzato una sofisticata truffa di phishing su Facebook che sfrutta una vulnerabilità presente in Salesforce. L'e-mail di phishing, redatta con grande cura, menziona il nome del destinatario e si presenta come un messaggio proveniente da Meta Platforms. Contiene inoltre un grande pulsante con la scritta “richiedi una recensione”, che reindirizza la vittima alla pagina di phishing con l’obiettivo di sottrarre i dati dell’account Facebook dell’utente.
La pagina di phishing è ospitata come gioco sulla piattaforma delle app di Facebook, utilizzando il dominio apps[.]facebook[.]com. Ciò crea l'illusione che la pagina di assistenza faccia parte del Suo account Facebook.
Sfruttamento del gateway di posta elettronica di Salesforce
Il gateway di posta elettronica di Salesforce è progettato per inviare un elevato volume di e-mail ai clienti in tutto il mondo. Prima di inviare un’e-mail, il sistema verificherà la titolarità del nome di dominio che sta per utilizzare per l’invio del messaggio. Questo dominio verrà visualizzato accanto al campo “Da” e conferma che Salesforce dispone dell’autorizzazione a inviare e-mail a nome di questo marchio.
Per poter inviare e-mail, è necessario verificare il proprio indirizzo e-mail. Cliccando sul link di verifica inviato alla casella di posta elettronica desiderata, si autorizza Salesforce a configurare le e-mail in uscita. Dopo aver verificato un indirizzo, l’utente potrà selezionarlo nelle schermate relative alle e-mail in uscita.
Analizzando attentamente le intestazioni delle e-mail, Guardio ha constatato che il dominio del campo “Da” presenta un sottodominio generato per ogni specifico account Salesforce utilizzando la parola chiave “case”. L'indirizzo è gestito dall'utente tramite la funzionalità "Email-To-Case" di Salesforce, che converte automaticamente le e-mail in arrivo dai clienti in ticket gestibili all'interno di Salesforce.
Sfruttare Salesforce per rafforzare l’identità del marchio
Approfondendo l’analisi del processo di convalida, i ricercatori hanno scoperto che è possibile ricevere e-mail inviate a indirizzi specifici di salesforce.com e accedere al loro contenuto tramite il sistema di ticket di Salesforce.
Per ricreare questa funzionalità, Guardio ha iniziato creando un flusso “Email-To-Case” che ha consentito loro di avere il pieno controllo della parte relativa al nome utente dell’indirizzo e-mail di Salesforce. Hanno scelto “Salesforce” come nome utente, ottenendo così il seguente indirizzo e-mail da utilizzare a fini illeciti: salesforce@{account_id_hash}.case.salesforce[.]com.
Ora disponevano di un indirizzo e-mail che sembrava simile a quelli che avevano già visto in circolazione nell’ambito di campagne di phishing. Hanno quindi verificato che tale indirizzo e-mail fosse un “indirizzo e-mail a livello di organizzazione”, affinché il Salesforce Mass Mailer Gateway utilizzasse tale indirizzo nel flusso ufficiale in uscita.
Dopo aver verificato l'indirizzo e-mail, hanno creato un nuovo indirizzo e-mail a livello di organizzazione utilizzando l'indirizzo Salesforce appena generato. Ciò ha attivato il flusso di verifica che ha inviato l'e-mail all'indirizzo di inoltro, generando così una nuova attività nel sistema. Da qui, gli autori delle minacce possono procedere a creare vari tipi di schemi di phishing provenienti da un mittente di posta elettronica di salesforce.com. È più probabile che questi messaggi finiscano nella casella di posta in arrivo delle vittime prese di mira, poiché provengono da Salesforce.
Abuso del dominio delle app di Facebook
Guardio ha inoltre riscontrato un uso improprio del dominio delle app di Facebook. A partire dalla versione “ luglio 2020”, nell’ecosistema di Facebook non è più possibile creare canvase di giochi legacy con ID “ App ”. Questa campagna, tuttavia, sembrava possedere ancora tale potere.
Secondo Meta, è ancora possibile garantire il supporto per i giochi legacy sviluppati prima di tale obsolescenza, il che li rende appetibili per gli autori di minacce. Guardio ha contattato Meta, la quale sta attualmente conducendo un’analisi delle cause alla base del mancato funzionamento dei sistemi di rilevamento e delle misure di mitigazione in atto.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questa campagna contiene link legittimi a Facebook e viene inviata tramite indirizzi e-mail di Salesforce; non sorprende quindi che i ricercatori stiano riscontrando che essa riesca a eludere alcune soluzioni anti-phishing tradizionali.»
Guardio riassume piuttosto bene tali preoccupazioni:
Un aspetto preoccupante di questa battaglia in corso è lo sfruttamento di servizi apparentemente legittimi, quali i sistemi CRM, le piattaforme di marketing e gli spazi di lavoro basati sul cloud, al fine di svolgere attività dannose. Ciò rappresenta una grave lacuna in materia di sicurezza, in cui i metodi tradizionali faticano spesso a tenere il passo con le tecniche sempre più sofisticate e in continua evoluzione utilizzate dagli autori delle minacce.
3. L'attore russo BlueCharlie altera le infrastrutture in risposta alle rivelazioni
Negli ultimi mesi, Recorded Future ha collegato l’attore malintenzionato legato alla Russia BlueCharlie (si apre in una nuova scheda) a quasi 100 nuovi domini.
Il gruppo sta modificando attivamente la propria infrastruttura in risposta alle divulgazioni pubbliche (si apre in una nuova scheda) relative alle proprie attività. Molte delle tattiche, tecniche e procedure (TTP) osservate nelle recenti operazioni si discostano dalle precedenti attività del gruppo, il che suggerisce un’evoluzione.
Che cos’è BlueCharlie?
BlueCharlie è un attore malintenzionato legato alla Russia che opera sotto vari nomi, tra cui Callisto, Star Blizzard, COLDRIVER, TAG-53 e, in passato, Seaborgium. Conduce campagne di raccolta di informazioni al fine di svolgere ulteriori attività di spionaggio e condurre operazioni di hacking e divulgazione di informazioni riservate.
BlueCharlie conduce campagne persistenti di phishing e furto di credenziali e tende a utilizzare fonti aperte per effettuare ricognizioni prima di procedere all’intrusione. In un caso, l’autore dell’attacco ha creato profili fraudolenti su diverse piattaforme social per effettuare attività di ricognizione nei confronti delle entità prese di mira.
Il gruppo sembra aver modificato le proprie tecniche, tattiche e procedure (TTP) dopo che alcune notizie rese pubbliche hanno portato alla luce la sua infrastruttura dedicata alla raccolta di credenziali.
Struttura dei nomi di dominio
BlueCharlie ha recentemente modificato l’utilizzo di alcune parole nei propri domini, adottando un nuovo schema. I domini precedenti erano composti da due termini separati da un trattino. Un esempio è cloud-safety[.]online. Tale attività precedente si basava su una struttura di tipo “ URL ” per gli attacchi di phishing, che Recorded Future non ha ancora rilevato nelle attività recenti.
La nuova convenzione di denominazione è coerente e simile in tutti i 94 domini individuati da Recorded Future. I nuovi domini riguardano tematiche legate alle tecnologie informatiche e alle criptovalute, con nomi quali cloudrootstorage[.]com, directexpressgateway[.]com, storagecryptogate[.]com o pdfsecxcloudroute[.]com.
I registrar di BlueCharlie
Anche i registrar utilizzati da BlueCharlie sono cambiati. In precedenza, PorkBun rappresentava oltre il 50% dei registrar di domini utilizzati da BlueCharlie. Alla luce dell’attività attuale, il gruppo preferisce in modo schiacciante il registrar NameCheap.
Sistemi autonomi
Recorded Future ha individuato gli ASN in cui gli indirizzi IP di BlueCharlie sono stati rilevati con maggiore frequenza, sia per quanto riguarda le attività passate che quelle attuali. Da precedenti segnalazioni del settore emerge che Stark Industries, MIRhosting e PQ Hosting siano collegate tra loro e vengano spesso utilizzate per ospitare contenuti dannosi o come parte di infrastrutture di attacco.
X.509 Certificati “ TLS ”
In precedenza, era emerso che i domini BlueCharlie identificati ospitavano i corrispondenti certificati X.509 TLS emessi da Let’s Encrypt. Nella sua attività più recente, il gruppo continua ad avvalersi quasi esclusivamente dei certificati Let’s Encrypt. Vi era un'eccezione a questa regola per il dominio bittechllc[.]net, che utilizzava l'autorità di certificazione ZeroSSL.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’ultima volta che l’infrastruttura di BlueCharlie è stata resa pubblica, l’organizzazione è passata a nuove tattiche, tecniche e procedure (TTP) e a una nuova infrastruttura.» Alla luce di ciò, è plausibile che i rapporti pubblici di Recorded Future li indurranno a reagire allo stesso modo anche questa volta. Il gruppo rimane fedele alle sue origini nel campo del phishing, ricordandoci ancora una volta l’importanza della formazione e della sensibilizzazione.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium, per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
