Il primo nel rapporto di questa settimana è uno sguardo a uno studio della società di ricerca Forrester, che espone come le organizzazioni siano preparate ad affrontare il crescente rischio della supply chain. Segue un’esplorazione dettagliata di una recente campagna di cyberspionaggio attribuita a Earth Preta APT (aka Mustang Panda) in Cina, in cui gli attori della minaccia sono stati osservati mentre consegnavano malware personalizzato memorizzato negli account Google Drive e Dropbox a organizzazioni governative, di ricerca e accademiche situate principalmente in Asia. È incluso anche uno sguardo tempestivo a un nuovo e altamente sofisticato kit di phishing che imita in modo convincente diversi grandi marchi di vendita al dettaglio in vista della stagione dello shopping natalizio.
1. Nonostante le organizzazioni riconoscano la minaccia alla catena di fornitura, gli esperti suggeriscono che gli sforzi di gestione del rischio di terze parti non sono all’altezza
Secondo uno studio basato su un sondaggio condotto da Forrester, nonostante le richieste degli esperti del settore di sostenere e semplificare le catene di approvvigionamento a seguito della pandemia di COVID-19, le aziende continuano ad aumentare la loro dipendenza da servizi di terze parti.
Se la forza trainante di questo paradigma è il desiderio delle organizzazioni di ottimizzare la produttività, rimanere competitive o semplicemente aumentare l’agilità aziendale, la linea di fondo è che una maggiore dipendenza da terze parti è spesso accompagnata da un livello proporzionale di rischio informatico , in particolare quando un’organizzazione non dispone di un maturo programma di gestione del rischio di terze parti.
Mentre gli intervistati hanno apprezzato i vantaggi aziendali associati a prodotti e servizi di terze parti, non hanno sempre apprezzato i rischi associati a terze parti. Gli stessi intervistati hanno ammesso che resta ancora molto lavoro da fare per portare i loro programmi di gestione del rischio di terze parti a un livello di maturità sufficiente.
Gli esperti sembrano concordare sul fatto che un livello accettabile di maturità del programma è il risultato di una combinazione ben bilanciata di sofisticazione tecnica, agilità e robustezza.
Risultati principali del sondaggio di Forrester
- Migliorare il processo decisionale attraverso i dati è una priorità aziendale per il 72% degli intervistati.
- Il 71% ha affermato che l’adozione dei processi aziendali digitali è una priorità assoluta.
- Migliorare la risposta organizzativa ai cambiamenti aziendali e di mercato era una priorità assoluta per il 69% degli intervistati.
- Nell’anno precedente al sondaggio, il 40% degli intervistati ha stimato che i livelli di rischio associati alle loro catene di approvvigionamento sono aumentati in modo significativo, con il 38% che attribuisce livelli di rischio più elevati a una maggiore dipendenza da terze parti.
Commenti degli analisti da parte del Cyber Threat Intelligence Team di Tanium
“I risultati del sondaggio di Forrester parlano da soli. Non è necessario guardare lontano per trovare un carico di esempi di compromessi di alto profilo che sono stati in ultima analisi ricondotti allo sfruttamento di una vulnerabilità nel sistema di un appaltatore, determinati come il risultato di una compromissione della catena di approvvigionamento di un fornitore di terze parti o collegati in qualche modo all'armamento di pacchetti di codice o librerie nascoste tra le utilità legittime memorizzate in repository sfruttate quotidianamente dagli sviluppatori. Ad esempio, si consideri la recente scoperta di decine di pacchetti PyPI che forniscono W4SP malware per il furto di informazioni.
2. Gli hacker cinesi usano Google Drive per lanciare malware su reti private
Un recente rapporto di Trend Micro descrive una campagna di spear-phishing su larga scala in cui sono stati osservati hacker cinesi sostenuti dallo stato che distribuivano malware personalizzati – archiviati negli account Google Drive o Dropbox – a organizzazioni governative, di ricerca e accademiche in tutto il mondo per scopi di spionaggio.
Gli attacchi, che secondo quanto riferito hanno avuto luogo tra marzo e il ottobre 2022, sono stati collegati al gruppo di spionaggio informatico tracciato come Earth Preta da Trend Micro, più comunemente noto come Mustang Panda (noto anche come Bronze President o TA416). L’autore della minaccia ha preso di mira entità in tutto il mondo da almeno 2012, tra cui organizzazioni governative, think tank, ONG e organizzazioni cattoliche in Vaticano.
Earth Preta, come molti APT di China-nexus, è un gruppo di cyberspionaggio noto per sviluppare il proprio malware personalizzato e distribuirlo in combinazione con strumenti esistenti come PlugX e Cobalt Strike. Earth Preta si è guadagnata una reputazione per i suoi continui sforzi di aggiornamento del suo arsenale, e la recente attività del gruppo sembra supportare questa valutazione.
Dopo l'infezione iniziale, i documenti sensibili esfiltrati da Earth Preta dalle reti bersaglio possono essere sfruttati per ottenere l'ingresso iniziale durante la prossima ondata di intrusioni del gruppo. Tale metodologia ha l'effetto combinato di ampliare significativamente la portata delle campagne di cyberspionaggio di Earth Preta, aumentando notevolmente le dimensioni della superficie di attacco nella regione presa di mira.
Sulla base dei recenti obiettivi di Earth Preta, i paesi asiatici sembrano essere l’attuale area di interesse del gruppo. I ricercatori di Trend Micro riferiscono che, nella sua campagna più recente, il gruppo di aggressori ha preso di mira principalmente organizzazioni in Australia, Giappone, Taiwan, Myanmar e Filippine.
Questa valutazione è in linea con il report di Cisco Talos, che elenca il governo taiwanese, gli attivisti di Hong Kong, le ONG in Mongolia e Tibet, Myanmar e persino le società di telecomunicazioni afgane e indiane come bersagli dell’impressionante vittimismo di Earth Preta.
Dettagli della campagna Earth Preta
Trend Micro riferisce che durante la diffusa campagna di spear-phishing di cui sopra, Earth Preta è stato osservato abusare di falsi account Google per distribuire il malware tramite e-mail di spear-phishing, inizialmente memorizzate in un file di archivio (con estensioni come .rar,.zip e .jar) e distribuite tramite i link di Google Drive. Gli hacker hanno concentrato i loro sforzi principalmente su organizzazioni governative e legali, che rappresentano il 84% della vittimologia della campagna fino ad oggi.
Earth Preta è stato anche osservato utilizzando una serie di tecniche a supporto dell'evasione del rilevamento e dell'anti-analisi, come l'offuscamento del codice e l'uso di gestori di eccezioni personalizzati. Queste tecniche sono state sfruttate in combinazione con link incorporati che puntano a cartelle Google Drive o Dropbox. Entrambe sono piattaforme legittime e affidabili utilizzate da un vasto numero di organizzazioni private e pubbliche a supporto delle operazioni quotidiane e la loro buona reputazione aiuta a raggiungere l’effetto previsto degli aggressori: far apparire innocuo il traffico dannoso.
Commenti degli analisti da parte del Cyber Threat Intelligence Team di Tanium
Earth Preta è ben attrezzata, con accesso agli strumenti condivisi preferiti dalle legioni di hacker sostenuti dallo stato di Pechino e la capacità e la manodopera di aggiornare continuamente il suo arsenale e creare il proprio malware su misura. Le tecniche anti-analisi e di evasione della difesa del gruppo sono indicative di una forte attenzione alla sicurezza operativa (OPSEC). In una certa misura, lo stesso si può dire per l’uso di Earth Preta di almeno tre diversi vettori di distribuzione di malware in una singola campagna di spear-phishing. Procedere con cautela”.
3. Il kit di phishing impersona marchi noti per rivolgersi agli acquirenti statunitensi durante le festività
Una recente ricerca sulla sicurezza condotta da Akamai ha scoperto un nuovo e sofisticato kit di phishing che imita diversi grandi marchi di vendita al dettaglio ben noti in vista delle festività natalizie.
Il kit utilizza una combinazione di ingegneria sociale, tecniche di rilevamento multiplo e evasione e capacità che consentono agli aggressori di aggirare le misure di sicurezza del controllo degli accessi.
Panoramica della campagna
Akamai ha scoperto una campagna di phishing in corso che si è verificata a partire dalla metà del esettembre 2022 che ha ottobre 2022 preso di mira gli acquirenti online che volevano approfittare delle offerte speciali per le feste. Questa campagna ha attirato le vittime con la possibilità di vincere un premio, richiedendo i dati della carta di credito per “coprire il costo della spedizione”.
La tempistica della campagna - progettata per coincidere con le vendite promozionali comuni e-retailer spingono intorno al Labor Day e Halloween - serve ad aumentare il suo senso di legittimità e capitalizza il fervore commerciale che tende ad attrarre gli americani in questo periodo dell'anno. Oppure, detto in modo meno cinico, la campagna sfrutta gli utenti giocando nello spirito natalizio e imitando gli stratagemmi di marketing al dettaglio legittimi. Le e-mail di phishing sono sofisticate quando si tratta della loro appropriazione di un marchio autentico, come puoi vedere nell’esempio qui sotto.
Tecniche di ingegneria sociale
Le e-mail di phishing utilizzate in questa campagna imitano una vasta gamma di marchi. Una somiglianza tra molte delle e-mail era un utente falso di nome Natalie Hamilton. Questo utente è stato sfruttato in più truffe lasciando commenti di revisione premio per rendere il premio sembra genuino. Questa tecnica è utilizzata per stabilire la fiducia con l'utente e alcuni esempi di essa possono essere visti di seguito.
Infrastruttura della campagna
Akamai è stata in grado di identificare una catena nidificata di reindirizzamenti, a partire dal collegamento iniziale fornito alle vittime nell’e-mail di phishing. Questo link alla fine reindirizza le vittime alla pagina di destinazione finale della truffa. L'uso di una catena nidificata di reindirizzamenti è ciò che ha spinto i ricercatori di Akamai a caratterizzare la campagna come "altamente sofisticata".
Tecniche di evasione del rilevamento
Questa campagna sfrutta alcune tecniche diverse nel tentativo di eludere il rilevamento:
Abuso di abbreviatori di URL: servizi di abbreviazione di URL come Bitly sono diventati così normalizzati, in gran parte a causa del loro uso onnipresente sulle piattaforme di social media, che molti consumatori non pensano più due volte quando fanno clic su un URL abbreviato. Questo è esattamente ciò che questo kit di phishing mira a sfruttare e abusare. Questo aggressore ha creato falsi profili LinkedIn per creare post che puntano alla destinazione dannosa, assegnando loro gli URL abbreviati presenti nelle e-mail di phishing iniziali.
Sfruttamento della reputazione dei servizi web legittimi: gli attori delle minacce utilizzano un fornitore di servizi legittimo per ospitare la loro funzionalità di reindirizzamento dannoso. Utilizzando servizi come l'archiviazione cloud di Google , i servizi di hosting AWS e l'archiviazione BLOB di Azure , l'autore della minaccia sta sfruttando la buona fede con cui gli utenti visualizzano la reputazione di questi servizi. Ciò aumenta le possibilità di aggirare i meccanismi anti-phishing che potrebbero essere in atto.
URL identificatore di frammento: l'identificatore di frammento dell' URL è un segno hash del collegamento URI che indirizza un browser a un punto specifico su una pagina o un sito web. Questa tecnica viene comunemente utilizzata in un sommario per creare una migliore esperienza utente. Nel contesto di una campagna di phishing, tuttavia, l’hash può essere ignorato o trascurato quando viene scansionato dai prodotti di sicurezza. In questa campagna, il link originale inviato alle vittime contiene un segno hash seguito da un token. Il token viene successivamente utilizzato da JavaScript per ricostruire un URI a cui la vittima verrà reindirizzata. L'uso di token consente inoltre all'avversario di rintracciare le vittime e cercare statistiche sul coinvolgimento delle potenziali vittime.
URL generati casualmente: una parte notevole di questa campagna sono i suoi tentativi di filtrare i visitatori indesiderati ai suoi reindirizzamenti appositamente progettati, pagine di destinazione e siti di phishing. Per fare ciò genera un URL casuale che è legato a un utente specifico e incluso come parte della catena di reindirizzamenti. Dopo l’atterraggio sul sito web di phishing, ogni URL allocato può essere utilizzato solo dall’utente specifico, con conseguente riduzione dei tassi di rilevamento.
Potenza del CDN: Come nel caso dei servizi di web hosting abusati, la pagina di destinazione della truffa utilizza alcuni dei servizi offerti da un fornitore di CDN, inclusa la registrazione del dominio. L'autore della minaccia utilizza la registrazione del dominio rapida e semplice per avviare un'istanza e quindi ruotare il nome del dominio di phishing senza dover rimuovere l'infrastruttura. Inoltre ruota gli indirizzi IP associati alla CDN, eliminando la possibilità di bloccare l’attività in base all’indirizzo IP.
Targeting geografico: i siti di destinazione sembrano cambiare in base alla posizione geografica della vittima, con alcune posizioni geografiche non vietate affatto. La campagna monitorata da Akamai era rivolta principalmente alle vittime situate negli Stati Uniti, con il 89% delle vittime osservate negli Stati Uniti o in Canada. Lo stesso link iniziale di phishing porta a vari siti web con personalizzazione geografica ulteriormente sottolineando l'efficacia e la sofisticazione della campagna.
Commenti degli analisti da parte del Cyber Threat Intelligence Team di Tanium
“La campagna osservata da Akamai è in linea con le tendenze storiche degli attori delle minacce che sfruttano i vantaggi dei consumatori durante le festività natalizie. Questa campagna è probabilmente solo l’inizio di questo tipo di attività mentre ci spostiamo verso le festività natalizie. Questa storia è un promemoria per tutti a rimanere all'erta durante le festività natalizie. Presta particolare attenzione quando apri e-mail promozionali per le festività, e-card, conferme d’ordine online, e-mail di tracciamento delle spedizioni, ecc. Rimanere vigili e tenere d’occhio eventuali comunicazioni inattese/non richieste da parte dei rivenditori.”
Per ulteriori letture, rimani aggiornato sulle nostre recenti raccolte di informazioni sulle minacce informatiche.