Nella rassegna di questa settimana, CTI analizza le ultime attività del gruppo nordcoreano Lazarus , noto anche come “”, che includono ripetuti attacchi a un fornitore di software di cui non viene rivelato il nome e la diffusione di diverse famiglie di malware. Il prossimo articolo di CTI fa luce su Prolific Puma, un attore malintenzionato di tipo “ DNS ” che opera nell’ombra da diversi anni. CTI conclude con un'analisi di un attore malintenzionato nordcoreano che presenta punti in comune con il Gruppo Lazarus e che ora sta prendendo di mira gli ingegneri blockchain di una piattaforma di scambio di criptovalute con un nuovo malware per macOS.
1. Il Gruppo Lazarus prende di mira un fornitore di software
È stato osservato che il gruppo Lazarus, legato all’ e nordcoreano (si apre in una nuova scheda) , ha ripetutamente compromesso un fornitore di software di cui non è stato reso noto il nome. Il gruppo è riuscito a sfruttare le vulnerabilità nonostante la disponibilità di numerose patch e avvisi. Gli autori dell'attacco hanno utilizzato diverse tecniche di elusione e hanno impiegato diverse famiglie di malware.
Panoramica sull'attacco
Secondo SecureList (si apre in una nuova scheda), il fornitore era già stato vittima in diverse occasioni del Lazarus Group. Questa violazione ricorrente indica la presenza di un attore malintenzionato persistente che sta pianificando un potenziale attacco alla catena di approvvigionamento.
Il malware SIGNBT utilizzato nell'attacco ha fatto ricorso a una catena di infezione articolata e a tecniche sofisticate. L'autore dell'attacco ha inoltre sfruttato LPEClient per sferrare una serie di attacchi mirati.
Informazioni sul programma di caricamento SIGNBT
In luglio 2023, SecureList ha rilevato una serie di attacchi ai danni di diverse vittime, prese di mira tramite software di sicurezza legittimi progettati per crittografare le comunicazioni web tramite certificati digitali.
In un caso specifico, SecureList ha individuato il malware SIGNBT e il relativo shellcode, responsabili dell’esecuzione di un file eseguibile Windows direttamente in memoria. L'autore dell'attacco ha utilizzato diverse tattiche per garantire la persistenza durante l'attacco e diversi metodi per caricare il payload finale SIGNBT. L'autore dell'attacco ha utilizzato principalmente il sideloading di DLL per diffondere SIGNBT.
Malware SIGNBT: una panoramica
La maggior parte delle istanze del malware SIGNBT viene avviata dal programma di caricamento del malware, che opera in memoria.
Una volta eseguito, il programma inizia a comunicare con il server C2 , inviando un segnale di rilevamento dopo aver inizializzato i propri dati di configurazione. La sua comunicazione utilizza stringhe distintive che iniziano con SIGNBT, da cui deriva il nome del malware. Il malware crea un valore di 24 byte e genera ulteriori 24 byte di dati casuali, che vengono poi sottoposti a un'operazione XOR. I valori codificati vengono combinati con tre o sette nomi di parametri HTTP generati in modo casuale, rendendo più difficile l’ Detect e e l’analisi delle sue comunicazioni. Il malware contiene un'ampia serie di funzionalità che possono essere eseguite in base alle istruzioni contenute nel documento C2.
Tra i comandi supportati da SIGNBT figurano:
- CCBrush: Gestisce funzionalità quali il recupero di informazioni sul sistema, la verifica della connettività e la configurazione delle impostazioni.
- CCList: Gestisce i processi, tra cui l’ottenimento di un elenco dei processi in esecuzione, la chiusura dei processi, l’esecuzione di file e le operazioni sulle DLL.
- CCComboBox: Gestisce il file system, ad esempio per ottenere elenchi di unità, modificare le proprietà dei file e creare nuove cartelle.
- CCButton: Scarica e carica file, li carica in memoria e acquisisce lo schermo.
- CCBitmap: Implementa i comandi e le utilità di uso comune di Windows .
LPEClient
È stato osservato che l’attore distribuisce strumenti quali LPEClient e utilità per l’estrazione delle credenziali. Il malware LPEClient non è una novità, essendo stato scoperto nel 2020. Raccoglie informazioni sulle vittime e scarica ulteriori payload da un server remoto per eseguirli in memoria.
Secondo SecureList, questo malware ha subito un’evoluzione significativa dalla sua scoperta. Ora si avvale di tecniche avanzate per migliorare la propria invisibilità ed eludere il rilevamento, quali la disabilitazione dell’hooking delle chiamate di sistema in modalità utente e il ripristino delle sezioni di memoria delle librerie di sistema.
LPEClient è già stato utilizzato in attacchi del Gruppo Lazarus. Questo malware funge ripetutamente da vettore di infezione iniziale per consentire la profilazione delle vittime e il rilascio di payload aggiuntivi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo ultimo rapporto ribadisce quanto il Gruppo Lazarus possa essere determinato e tenace, attaccando ripetutamente la stessa azienda per facilitare un attacco alla catena di approvvigionamento.
È evidente che il gruppo sia determinato a rimanere uno dei principali attori malintenzionati. Nel corso dei loro ripetuti tentativi di compromettere la stessa azienda produttrice di software, hanno fatto ampio ricorso allo sfruttamento di vulnerabilità per le quali era già stata rilasciata una patch, a ulteriore dimostrazione dell’importanza di applicare tempestivamente le patch.
2. Un servizio di accorciamento dei link fa un uso improprio del dominio di primo livello .US
I ricercatori stanno monitorando attivamente un attore malintenzionato di tipo “ DNS ” denominato “ ” (Prolific Puma) (si apre in una nuova scheda), il quale crea nomi di dominio utilizzando un algoritmo di generazione di domini registrati (RDGA) e li impiega per fornire un servizio di accorciamento dei link ad altri attori malintenzionati ai fini di phishing e altre attività dannose. Il servizio di accorciamento dei link fa un uso eccessivo del dominio di primo livello (TLD) .US.
Che cos’è Prolific Puma?
Prolific Puma svolge un ruolo secondario all’interno della catena di approvvigionamento dei criminali informatici, consentendo ad altri criminali informatici di svolgere attività dannose. Il gruppo genera algoritmicamente grandi quantità di domini e li utilizza per creare link abbreviati. Altri autori di attacchi utilizzano questi link per nascondere la propria attività.
I ricercatori hanno individuato segnalazioni relative ai servizi di accorciamento dei link di " " e "Puma's" (si apre in una nuova scheda) risalenti a gennaio 2020. I link abbreviati vengono inviati alle vittime principalmente tramite SMS. Tuttavia, potrebbero essere utilizzati anche in altri contesti.
Rilevamento e caratteristiche dei nomi di dominio
Infoblox ha aggregato i log delle query passive di DNS insieme ad altre fonti di dati per eseguire una serie di analisi sui domini oggetto di nuove query, registrati o configurati di recente. Ciò ha consentito loro di caratterizzare i domini, segnalandone alcuni come sospetti e attribuendone altri a un determinato autore di minacce DNS . All’inizio di quest’anno hanno implementato algoritmi per l’individuazione di RDGA, individuando gruppi di domini Prolific Puma.
Il collegamento tra i domini di Prolific Puma e le vere pagine di destinazione finali è indiretto. Il traffico dannoso viene distribuito tra i domini di reindirizzamento in volumi ridotti, il che fa sì che alcuni di essi acquisiscano una reputazione “positiva” grazie a un processo strategico di maturazione.
Prolific Puma ha registrato tra 35.000 e 75.000 domini unici a partire dal aprile 2022, con circa 43 nuovi domini rilevati ogni giorno. L'attore utilizza principalmente NameSilo come registrar di nomi di dominio e fa maturare strategicamente i domini prima di iniziare a ospitare il proprio servizio presso provider anonimi. L'attore fa un uso improprio costante del TLD .US ed è noto per registrare sia domini nuovi che domini liberati.
I domini sono alfanumerici, pseudo-casuali e hanno in genere una lunghezza compresa tra tre e quattro caratteri. I domini sono inoltre registrati su 12 TLD, con circa il 55% registrato con estensione .US.
Abuso del dominio di primo livello .US
Solo i cittadini statunitensi e le imprese affiliate agli Stati Uniti possono registrare domini .US. Per registrare un dominio .US con NameSilo è necessario disporre di un indirizzo e-mail e selezionare una categoria che indichi il proprio legame con gli Stati Uniti. È stato osservato che Prolific Puma ha selezionato la categoria “cittadino statunitense”.
Il richiedente deve inoltre fornire nome, indirizzo e numero di telefono — dati che, a quanto pare, non vengono verificati nel corso della procedura. Si tratta di un problema ricorrente per molti TLD, poiché per un registrar è difficile regolamentare i domini.
In che modo Puma, azienda particolarmente prolifica, ricorre all’invecchiamento strategico
DNS Gli autori delle minacce sono simili agli autori delle minacce malware, ma lasciano pochissime informazioni su cui basarsi nei registri di registrazione dei domini e dell’ DNS . Prolific Puma preferisce ricorrere alla registrazione di domini privati, ma continua comunque a fare ampio ricorso alle registrazioni di TLD che devono essere pubbliche.
L'attore lascerà il dominio inattivo o "parcheggiato" per diverse settimane dopo la registrazione, una tecnica nota come "invecchiamento strategico". Ciò avviene intenzionalmente, poiché molti attacchi di phishing sono collegati a domini di recente registrazione e alcune aziende, in risposta a ciò, bloccano l’accesso a tali domini. Durante questo processo di maturazione, l’autore dell’attacco effettuerà alcune richieste DNS per garantire al dominio una buona reputazione.
Sembra che Prolific Puma fornisca un servizio ad altri autori di minacce e che le pagine di destinazione finali non siano sotto il loro controllo — sebbene ciò sia possibile. Non è inoltre chiaro in che modo Prolific Puma pubblicizzi i propri servizi, né come i suoi utenti ricevano l’URL abbreviato URL.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I ricercatori dedicano spesso molto tempo all’analisi del punto di inizio e di fine di una campagna dannosa, ovvero la pagina di destinazione. Ciò che stiamo osservando nel caso di Prolific Puma è il livello intermedio della più ampia catena di approvvigionamento dei criminali informatici, nonché il modo in cui questi attori malintenzionati, noti come “ DNS ”, possano fornire ulteriore supporto ad altri criminali informatici nelle loro attività. È proprio questo che rende Prolific Puma e il suo servizio di accorciamento dei link così interessanti.
3. Gli hacker prendono di mira gli esperti di criptovalute con il malware KANDYKORN
Gli autori di attacchi nordcoreani stanno ora prendendo di mira gli ingegneri blockchain di una piattaforma di scambio di criptovalute con un nuovo malware per macOS di tipo “ ” (si apre in una nuova scheda) denominato KANDYKORN.
L'attività, che risale al aprile 2023, prevede una combinazione di funzionalità personalizzate e open source e si sovrappone a quella del Gruppo Lazarus.
Il flusso di esecuzione
In questo esempio, gli autori dell’attacco hanno iniziato fingendo di essere membri dell’ Community , un gruppo di ingegneri specializzati in blockchain, su un server Discord pubblico. L’attore ha quindi fatto ricorso a tecniche di ingegneria sociale per convincere le vittime a scaricare e decomprimere un archivio ZIP contenente codice dannoso, facendo credere loro di stare installando un bot di arbitraggio, ovvero uno strumento software utilizzato per trarre profitto dalle differenze di cambio delle criptovalute tra le diverse piattaforme.
La catena di attacchi porta infine alla diffusione del malware KANDYKORN.
- Dropper della fase 1: testSpeed.py e FinderTools sono due dropper utilizzati nella prima fase dell’attacco.
Il file testSpeed.py stabilisce una connessione in uscita e recupera un ulteriore file Python da un'unità di Google all'indirizzo URL (FinderTools). Il file testSpeed.py provvederà quindi a salvare e avviare questo nuovo file.
FinderTools è l’ennesimo dropper che scarica ed esegue un payload nascosto di seconda fase (.sld).
- Payload dello stadio 2 : Questo stadio prevede l'esecuzione di un file binario offuscato denominato SUGARLOADER. Questo file binario viene utilizzato due volte con due nomi distinti, ovvero .sld e .log. Viene utilizzato per l'accesso iniziale al sistema e, successivamente, per l'inizializzazione dell'ambiente in vista della fase finale. Il suo scopo principale è quello di connettersi a un server C2 per scaricare ed eseguire il payload della fase finale, KANDYKORN.
SUGARLOADER si assicurerà che il file di configurazione esista, venga caricato in memoria e decrittografato prima di stabilire una connessione con il server remoto. L'ultima fase consiste nel scaricare il payload della fase finale dal server C2 ed eseguirlo. Questo attore sfrutta una tecnica nota come “caricamento binario riflessivo”, che può essere utilizzata per eseguire un payload da un buffer in memoria. SUGARLOADER carica in modo riflessivo il file binario KANDYKORN.
- Discord del loader Stage 3 : In questa fase dell'attacco, un payload denominato HLOADER tenta di mascherarsi da applicazione Discord legittima. È stato identificato grazie a una tecnica di firma del codice binario di macOS che era stata precedentemente collegata all’intrusione 3CX del Gruppo Lazarus.
Per garantire la persistenza, l’attore ricorre al dirottamento del flusso di esecuzione. Lo scopo principale del loader è quello di eseguire il pacchetto Discord legittimo insieme al payload .log menzionato in precedenza, che viene utilizzato per eseguire file binari Mach-O dalla memoria.
- Fase 4 KANDYKORN: KANDYKORN rappresenta l’ultima fase della catena di esecuzione ed è dotato di una serie completa di funzionalità per l’accesso e l’esfiltrazione dei dati.
I suoi processi vengono avviati in modo separato ed eseguiti in background come daemon prima del caricamento del relativo file di configurazione. Una volta stabilita la comunicazione, KANDYKORN attenderà i comandi provenienti dal server C2 anziché effettuare il polling per riceverli. Tra i comandi disponibili figurano: raccolta di informazioni, trasferimento di file, archiviazione di una directory, nonché esfiltrazione, sovrascrittura ed eliminazione di file, terminazione di processi, avvio di una shell, download di un nuovo file di configurazione e altro ancora. Un elenco completo dei comandi supportati è disponibile nel rapporto di Elastic.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Non è la prima volta che un gruppo legato a Lazarus ricorre a malware per macOS. Tuttavia, ciò indica che l’autore dell’attacco potrebbe iniziare a concentrarsi maggiormente sul malware per macOS. Sebbene questo attacco sembri prendere di mira specificatamente il settore delle criptovalute, molte delle altre TTP non sono esclusive e potrebbero quindi ripresentarsi in futuro.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”.
