Per iniziare la rassegna di questa settimana, CTI offre una panoramica del rapporto “ 2023 Weak Password Report” di Specops, che evidenzia, soprattutto, la necessità di un sistema di verifica delle password compromesse in grado di confrontare le password proposte con un elenco di password già oggetto di violazioni.
Successivamente, il CTI mette in evidenza un gruppo di hacker di recente identificazione legato alla Corea del Nord (APT43), che secondo l’ Mandiant ’è un sofisticato gruppo di spionaggio informatico sostenuto dallo Stato, che sta allineando i propri obiettivi operativi a quelli del governo nordcoreano.
Infine, CTI conclude la sua analisi con uno sguardo al nuovo toolkit AlienFox diffuso su Telegram, che, oltre a mettere in luce l’evoluzione delle attività dei criminali informatici nel cloud, viene utilizzato per estrarre credenziali dalle chiavi API e raccogliere dati di autenticazione dai servizi di posta elettronica basati sul cloud.
Gli errori relativi alle password da parte degli utenti finali mettono a rischio le organizzazioni
Specops ha pubblicato il proprio rapporto “: 2023 Weak Password Report” (si apre in una nuova scheda), che contiene un’analisi di oltre 800 milioni di password compromesse.
Il rapporto illustra in dettaglio alcune delle cattive pratiche relative alle password che spesso mettono a rischio le aziende e analizza i motivi per cui le password rappresentano ancora uno degli anelli più deboli di una rete.
Principali risultati emersi dal rapporto di Specops
- Specops ha analizzato oltre 800 milioni di password compromesse e le ha sottoposte a verifica rispetto a cinque standard normativi, tra cui l’ NIST (HITRUST), l’HITRUST per l’HIPAA, l’ PCI, l’ICO per l’ GDPR e il Cyber Essentials per l’NCSC. La ricerca condotta dall’azienda ha rilevato che il 83% delle password compromesse (si apre in una nuova scheda) continuerebbe a soddisfare i requisiti di complessità e lunghezza previsti da tali standard.
- Specops ha esaminato le password utilizzate per attaccare le porte RDP in attacchi reali e ha analizzato un sottoinsieme di 4,6 milioni di password. Oltre il 88% delle password utilizzate negli attacchi era composto da 12 caratteri o meno, con una lunghezza media di 8 caratteri. Le password composte esclusivamente da lettere minuscole sono risultate la combinazione di caratteri più frequente riscontrata.
- I tre termini di base più comuni presenti nelle password “ ” utilizzate per attaccare le reti (si apre in una nuova scheda) sono “password”, “admin” e “welcome”.
- Nel corso della propria analisi di oltre 800 milioni di password compromesse, Specops ha individuato diversi temi e modelli ricorrenti. Quando creano le proprie password, le persone tendono a trarre ispirazione dagli avvenimenti mondiali e dall’ambiente circostante in generale. Si tratta di una tendenza di cui gli hacker sono consapevoli e che sfruttano intenzionalmente quando prendono di mira le vittime.
- Il calcio è un linguaggio universale in tutto il mondo, e i ricercatori hanno scoperto che ciò vale anche nel campo delle password. La Coppa del Mondo 2022 ha portato i ricercatori a individuare diversi termini relativi alla Coppa del Mondo nel database delle password compromesse. Il termine “soccer” è in realtà in cima alla lista dei termini correlati con oltre 140k occorrenze, mentre “football” si colloca al secondo posto. I ricercatori hanno individuato numerosi giocatori, sia attuali che ex, in cima alla classifica delle password legate ai Mondiali.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Non è certo un segreto che pratiche inadeguate in materia di password possano rendere voi e la vostra organizzazione vulnerabili agli attacchi informatici. Da un precedente rapporto di sul gestore di password (si apre in una nuova scheda) è emerso che il 41% degli americani si affida alla memoria per ricordare le proprie password, il che indica che probabilmente utilizzano password semplici o ripetitive, facili da ricordare.”
«La lunghezza e la complessità delle password, di per sé, non sono sufficienti: esistono numerose normative di conformità (si pensi all’ NIST) che definiscono gli standard in materia di sicurezza informatica e includono le politiche aziendali relative alle password. Molte di queste norme sottolineano i requisiti relativi alla lunghezza e alla complessità nella definizione delle politiche sulle password; tuttavia, vista la crescente sofisticazione degli attacchi odierni, ciò spesso non è sufficiente di per sé.”
“La constatazione di Specops secondo cui il 83% delle password compromesse soddisfaceva comunque molti dei requisiti relativi alla complessità e alla lunghezza previsti dagli standard normativi indica chiaramente che la lunghezza e la complessità da sole non sono sufficienti. In altre parole, una password lunga e complessa che soddisfi gli standard normativi non ha alcun valore ai fini del mantenimento di un solido livello di sicurezza se tale password figura nell’elenco delle password compromesse in possesso di un autore di minacce.”
«Questi dati evidenziano il motivo per cui alcune raccomandazioni normative prevedono ora un controllo delle password compromesse al fine di garantire una maggiore sicurezza delle stesse. In definitiva, una corretta gestione delle password è più importante che mai – e ciò va ben oltre il semplice rispetto dei requisiti di complessità predefiniti.”
Il gruppo di hacker “ APT43 ”, recentemente smascherato, prende di mira organizzazioni statunitensi
Mandiant ha rivelato per la prima volta le attività del gruppo APT43 e ritiene che questo sofisticato gruppo di spionaggio informatico sia un’entità sostenuta dallo Stato, i cui obiettivi operativi sono in linea con quelli del governo nordcoreano.
Oltre a svolgere attività legate allo spionaggio, si ritiene che l’unità APT43 si finanzi attraverso operazioni di criminalità informatica per sostenere la propria missione principale, ovvero la raccolta di informazioni strategiche.
Informazioni generali
- Le attività non segnalate daMandiant attribuite a APT43 fanno spesso riferimento al gruppo con il nome di Kimsuky o Thallium.
- Le operazioni APT43’s ricorrono solitamente a campagne di spear- , supportate da domini e indirizzi e-mail contraffatti, nell’ambito delle proprie tattiche di ingegneria sociale. Mandiant Non è stato ancora osservato che questo gruppo sfrutti vulnerabilità zero-day.
- Da quando Mandiant ha iniziato a monitorare APT43, ha rilevato che l’avversario svolge costantemente attività di spionaggio ai danni di organizzazioni sudcoreane e statunitensi.
- Prima dell’operazione “ ottobre 2020”, l’operazione APT43 era rivolta principalmente a uffici governativi, organizzazioni diplomatiche e organismi legati ai think tank. Da ottobre 2020 aottobre 2021, l’attività ha subito un cambiamento e una parte significativa di essa è stata indirizzata verso i settori legati alla sanità e le aziende farmaceutiche – probabilmente in risposta alla pandemia di Covid-19.
- APT43 dispone di un ampio kit di strumenti composto sia da malware di dominio pubblico che da strumenti personalizzati. Nel corso del tempo si è potuto osservare come l'arsenale del gruppo si sia costantemente evoluto e ampliato. Il gruppo ha utilizzato malware disponibili pubblicamente, quali Gh0st RAT, QUASARRAT e AMADEY, oltre a LATEOP (noto al pubblico come BabyShark), che è una backdoor basata su script Visual Basic.
Operazioni informatiche per il corso APT43
APT43, come molti autori di minacce, ricorre comunemente alle e-mail di spear-phishing come vettore di accesso iniziale. Inoltre, il gruppo ricorre all’uso di siti web contraffatti allo scopo di sottrarre credenziali.
Inoltre, APT43 aggiorna regolarmente i contenuti delle proprie esche di phishing, adattandoli al pubblico di destinazione specifico. A tal fine, crea e gestisce profili fittizi credibili e si spaccia per persone fisiche operanti in determinati settori. APT43 si occupa inoltre del riciclaggio di criptovalute, i cui profitti servono ad ampliare l’acquisto delle infrastrutture operative del gruppo.
Spionaggio
Sebbene il gruppo APT43 commetta certamente reati a scopo di lucro, il suo obiettivo principale è lo spionaggio informatico. Il gruppo è interessato alle informazioni elaborate e conservate dall’esercito e dal governo degli Stati Uniti, dalla base industriale della difesa (DIB) e alle politiche in materia di ricerca e sicurezza elaborate dagli Stati Uniti. L'azienda nutre interesse per settori analoghi in Corea del Sud.
Mandiant ritiene che anche l’APT “43 may ” stia effettuando un monitoraggio interno di altre operazioni nordcoreane. L’unità APT43 ha individuato singoli agenti di spionaggio, compresi quelli operanti all’interno delle proprie stesse operazioni. Non è chiaro se tale attività sia finalizzata a scopi di monitoraggio o se, al contrario, sia accidentale e derivi da carenze nella sicurezza operativa.
Raccolta delle credenziali
APT43 conduce regolarmente campagne di raccolta delle credenziali volte a sottrarre dati finanziari, informazioni personali identificative (PII) e dati dei clienti. Il gruppo registra domini che sfruttano errori di digitazione relativi a motori di ricerca, piattaforme web ed exchange di criptovalute molto diffusi. Le credenziali raccolte vengono utilizzate per creare identità virtuali e predisporre l’infrastruttura necessaria alle proprie operazioni. L'operazione ha sfruttato infrastrutture compromesse e di proprietà degli autori dell'attacco per ospitare e diffondere il proprio malware.
Le modifiche alle modalità di individuazione dell’obiettivo APT43’s potrebbero riflettere cambiamenti tattici nelle esigenze di raccolta delle informazioni. Ad esempio, alla fine del 2021, il APT43 ha ripreso le campagne di raccolta delle credenziali ai danni di gruppi religiosi, università e ONG. Successivamente, all’inizio del 2022, sono state rilevate campagne rivolte ad accademici, giornalisti, politici, blogger e altre figure del settore privato. Infine, a metà del 2022, le campagne hanno nuovamente cambiato obiettivo, concentrandosi sui blogger sudcoreani e sugli utenti dei social media interessati alle questioni relative alla Corea del Sud.
Targeting delle criptovalute
L'operazione ha preso di mira le criptovalute sin dalla loro comparsa. A differenza di altri gruppi nordcoreani, il cui obiettivo principale è quello di raccogliere fondi per il regime, il gruppo APT43 svolge probabilmente la propria attività nel settore delle criptovalute per sostenere le proprie operazioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Mandiant solleva un punto piuttosto interessante riguardo a APT43’s operazioni apparentemente autofinanziate e al modo in cui ciò possa essere indicativo di un mandato più ampio per i gruppi nordcoreani:
La diffusione di attività a scopo di lucro tra i gruppi nordcoreani, anche tra quelli che storicamente si sono concentrati sullo spionaggio informatico, suggerisce l’esistenza di un mandato generalizzato all’autofinanziamento e l’aspettativa che essi si sostengano autonomamente senza risorse aggiuntive.
"APT43’s continuous shifting of its methodology and tradecraft suggests it is highly responsive to the ever-changing landscape and to the goals of its espionage mission. «Questa organizzazione è in grado di modificare rapidamente le proprie tattiche, tecniche e procedure (TTP) per attuare quanto necessario a sostegno del regime.»
3. Il nuovo toolkit AlienFox ruba le credenziali di accesso ai servizi cloud
SentinelOne ha scoperto un nuovo toolkit (si apre in una nuova scheda) denominato AlienFox, che viene distribuito su Telegram. AlienFox consente agli autori delle minacce di sottrarre credenziali dalle chiavi API e dai segreti di autenticazione dei più diffusi servizi di posta elettronica basati sul cloud.
- Il toolkit è modulare ed è composto da diversi strumenti personalizzati e da utilità open source modificate, consentendo all’autore della minaccia di adattarlo e modificarlo in base alle proprie esigenze.
- Le attività di attacco di AlienFox sono prevalentemente di natura opportunistica e sfruttano le configurazioni errate dei server che ospitano framework web, tra cui Drupal, Joomla, Magento, OpenCart, PrestaShop e WordPress.
- Una volta identificato un server, l’autore dell’attacco può quindi estrarre i file di configurazione che contengono informazioni sensibili, quali i servizi abilitati e le relative chiavi API e segreti.
Gestione delle versioni di AlienFox
Il toolkit AlienFox si concentra principalmente sui servizi di posta elettronica basati sul cloud. Ad oggi, i ricercatori hanno individuato le versioni da 2 a 4 di AlienFox, che risalgono a partire dal febbraio 2022 .
AlienFox V2
Uno degli archivi analizzati di AlienFox V2 contiene i dati generati quando un attore ha eseguito gli strumenti, tra cui l’accesso all’ AWS e e le chiavi segrete. Questa versione del set di strumenti contiene l'utilità principale in uno script denominato s3lr[.]py. Uno script Python, denominato Awses[.]py, automatizza diverse attività relative al servizio Simple Email Service ( AWS ), tra cui l’invio e la ricezione di messaggi e l’applicazione di un profilo di persistenza all’account AWS . Con questo script, l’autore dell’attacco fornisce il nome utente durante l’esecuzione, il che implica che si tratti di uno strumento che richiede l’intervento diretto dell’utente.
Questa versione include una funzione denominata "goblok" (termine che in indonesiano significa "idiota") per la creazione di un nuovo profilo finalizzato alla persistenza e all'escalation dei privilegi. Questa funzione invia i valori dei parametri alla variabile iam, dove vengono analizzati. Questa operazione crea un nuovo utente nell'account AWS della vittima. Se la creazione del nuovo utente va a buon fine, a tale utente vengono concessi i privilegi di “ Admin ”.
Un altro script V2 , ssh-smtp[.]py, analizza i file di configurazione alla ricerca delle credenziali e utilizza la libreria Python Paramiko per verificare la validità delle configurazioni SSH sul server web preso di mira. Questa versione di AlienFox include inoltre un exploit per CVE-2022-31279, una vulnerabilità di deserializzazione presente nel framework PHP Laravel.
AlienFox V3
Tra le versioni rilevate da SentinelOne, gli archivi più singolari sono stati contrassegnati come versione 3. Le seguenti varianti del nome erano:
- ALIEN-FOX AFV 3,0 Izmir – realizzato d febbraio 2022
- ALIENFOX III V3,0 AFV.EXE – creato da febbraio 2022
- ALIEN-FOX AFV 3,5 JAGAUR – realizzato d aprile 2022
- ALIEN-FOX AFV 3,5 rondrickmadeit – creato d febbraio 2022
Questa versione ha introdotto prestazioni migliorate e include variabili di inizializzazione, classi Python con funzioni modulari e il threading dei processi.
AlienFox V4
Il set di strumenti osservato più di recente è organizzato in modo molto diverso, con un numero assegnato a ciascun strumento (ad esempio, strumento 1, strumento 2). Lo script principale nella directory principale di AlienFox, denominato ALIENFOXV4[.]py, funge da script di avvio per gli script degli strumenti numerati presenti nelle sottocartelle.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il toolkit AlienFox mette in luce l’evoluzione delle attività criminali informatiche nel cloud. In particolare, gli attacchi non si limitano più al cryptomining. Poiché la maggior parte degli strumenti contenuti nel toolkit è open source, gli autori delle minacce hanno l’ulteriore vantaggio di poter adattare il toolkit alle proprie esigenze specifiche. SentinelOne ha descritto il toolkit come altamente modulare e in rapida evoluzione, il che lo rende una minaccia sempre più grave man mano che vengono aggiunte nuove funzionalità.”
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su “”.
