In primo luogo, ci immergiamo in un rapporto che dettaglia più pacchetti Python fraudolenti all'interno del registro PyPI, che i ricercatori affermano stiano distribuendo malware per rubare informazioni. Successivamente, esaminiamo l’ultimo rapporto di KELA, che contiene una moltitudine di risultati relativi all’attività associata al ransomware di alto livello, nonché una panoramica delle cifre di vendita delle credenziali rubate raccolte dai broker di accesso iniziale (IAB) nell’ultimo trimestre.
1. Dozzine di pacchetti PyPI catturati cadere W4SP info-stealing malware
Un nuovo rapporto della società di sicurezza Phylum rivela l'esistenza di più pacchetti Python all'interno del registro PyPI che i ricercatori sostengono stiano distribuendo malware che rubano informazioni (in particolare il W4SP info-stealer viene rilasciato su macchine compromesse tramite codice malevolo offuscato iniettato all'interno di questi pacchetti).
I ricercatori hanno scoperto 29 pacchetti nel repository #Python Package Index (PyPI) che mirano a infettare le macchine degli sviluppatori con un #malware chiamato W4SP Stealer. Leggi: https://t.co/jgCZPawWyE#infosec #cybersecurity #hacking
— The Hacker News (@TheHackersNews) 5 novembre 2022
La piattaforma di rilevamento del rischio automatizzata di Phylum ha allertato i suoi analisti di attività sospette provenienti da decine di pacchetti PyPI appena pubblicati. I suoi ricercatori caratterizzano l’attività come un sofisticato tentativo di consegnare il W4SP info-stealer alle macchine appartenenti agli sviluppatori Python.
Secondo Phylum, questo attacco inizia con l'attore di minaccia senza nome che copia le librerie popolari esistenti e inietta il codice di base dei pacchetti altrimenti benigni con una dichiarazione di importazione dannosa.
Copiando i pacchetti autentici esistenti, l'attore può beneficiare della pagina di destinazione PyPI di accompagnamento di ciascun pacchetto (generata dal suo setup.py e includendo README.md dei pacchetti originali), il cui risultato è una pagina di destinazione realistica, completa di collegamenti funzionanti, che conferisce un significativo senso di legittimità al procedimento.
Ecco la pagina di destinazione PyPI per i tipi di pacchetto dannosi. Si può vedere che l’aggressore ha appena copiato il pacchetto datetime2 e ha apportato alcune lievi modifiche nel tentativo di rendere il testo coerente con il nome del pacchetto falso con cui è stato pubblicato.
Gli attacchi sembrano essere iniziati da qualche parte intorno al 1 ottobre 2022, guadagnando gradualmente slancio e diventando degni di essere classificati come una campagna avversaria concentrata intorno al 22 ottobre 2022. Tuttavia, Phylum ammette di aver osservato un piccolo numero di pacchetti contenenti simili indicatori di compromesso (IOC), pubblicati in luglio 2022.
La teoria di lavoro è che questa attività precedente era probabilmente un test di proof-of-concept (PoC), consentendo agli aggressori di testare la loro metodologia. Quello che stiamo vedendo ora potrebbe benissimo essere il risultato di questi sforzi esplorativi.
Evoluzione delle tattiche avversarie
Analizzando i pacchetti che rappresentano il culmine degli sforzi di questo aggressore (i precedenti in particolare), è diventato chiaro ai ricercatori che la parte del leone di loro è stata semplicemente compromessa iniettando la dichiarazione di importazione dannosa di cui sopra in setup.py o in .py. Questa si è rivelata una soluzione piuttosto maldestra e il dumping dell'importazione in luoghi piuttosto ovvi e facilmente trovabili ha portato a molti dei tentativi dell'attore che sono stati rilevati e abbattuti.
Ciò ha spinto l’attaccante a cambiare tattica. Invece di scaricare semplicemente l'importazione in un punto facile da trovare all'interno dei pacchetti mirati, l'importazione ha iniziato a essere deliberatamente collocata lontano dallo schermo; che l'avversario ha realizzato sfruttando il punto e virgola di Python raramente usato per posizionare il codice dannoso accanto al codice legittimo sulle stesse linee (vedi sotto per uno screenshot di setup.py tratto dal pacchetto dannoso typesutil).
All’inizio, nulla sembra fuori uso. È solo quando si allarga la finestra dell'editor di codice (o si attiva il word wrapping) che il ruse è esposto, e __import__ è improvvisamente visibile, fuori nel campo sinistro - sfalsato di 318 spazi (vedi sotto).
In molti casi, un secondo o due di negligenza o di disattenzione ai dettagli da parte dello sviluppatore è tutto ciò che serve per sfruttare un pacchetto dannoso al posto della sua controparte legittima, dando così inizio involontariamente a un potenziale incidente della catena di fornitura del software.
Commenti degli analisti da parte del Cyber Threat Intelligence Team di Tanium
Tenendo conto che la sicurezza della supply chain del software è un argomento caldo in questo momento, insieme al flusso costante di rischi che l’industria del software open source deve affrontare, storie come questa dovrebbero essere prese sul serio. Detto questo, c’è una grande differenza tra prendere sul serio una minaccia e agire di conseguenza in modo calmo e misurato – e consentire a una potenziale minaccia di creare caos e dettare ogni tuo movimento.
“La conclusione è che incidenti come Heartbleed e la compromissione di SolarWinds , di grande impatto, hanno lasciato un segno indelebile nel panorama delle minacce informatiche e le cose probabilmente non saranno più le stesse. È una buona cosa? Il panorama delle minacce è mai stato normale o stabile? È una domanda molto soggettiva, a cui non cercherò di rispondere. Tuttavia, l’attuale consenso tra gli esperti di intelligence è che il dominio informatico ha raggiunto un punto di instabilità non precedentemente osservato dalla maggior parte delle fonti da cui dipendiamo per le informazioni.
“Eppure, ci sono molti vantaggi nel lavorare con piattaforme open source. Ed è importante coltivare un sano scetticismo riguardo alla capacità di un numero enorme di progetti di implementare la sicurezza in modo coerente e affidabile come una caratteristica, rispetto a un ripensamento.
La storia di PyPI di cui sopra è solo l’ultimo di una lunga serie di esempi di attori di minacce che tentano di compromettere i pacchetti, le librerie e i progetti su cui gli sviluppatori si sono basati per anni per semplificare il loro lavoro, alcuni dei quali potrebbero dare per scontata l’integrità e l’autenticità delle risorse che stanno importando.
La realtà è che il software open source non riceverebbe così tanta attenzione dai nostri avversari se non fosse un veicolo così attraente e di grande successo per la consegna di payload dannosi o il raggiungimento di altri obiettivi dannosi.
2. Il report di KELA descrive in dettaglio l’attività di ransomware e le vendite di accesso alla rete per il terzo trimestre del 2022
Il report di KELA “Ransomware Victims and Network Access Sales in Q3 2022” contiene una moltitudine di risultati relativi alle principali attività di ransomware e alle vendite generate da IAB (Initial Access Broker) nell’ultimo trimestre di 2022.
Il report pone l’accento sul fatto che gli attori delle minacce hanno offerto offerte di accesso iniziale più costose in questo trimestre, un’indicazione probabile che la domanda di access point e credenziali rubate è in aumento.Risultati ransomware di
Kela
In Q3 2022, KELA ha identificato circa 600 vittime nelle sue fonti, tra cui blog/portali degli attori del ransomware, siti di fuga di dati e rapporti pubblici. In media, KELA ha osservato circa 200 attacchi ogni mese per Q3 rispetto ai 216 per Q2.
I principali gruppi di ransomware
I gruppi di ransomware più prolifici per Q3 sono LockBit, Black Basta, Hive, Alphv / BlackCat e BianLian.
- LockBit: LockBit ha avuto oltre 200 vittime, che è quattro volte di più rispetto ai suoi rivali più vicini e ha mantenuto la sua posizione in cima alla lista.
- Black Basta: l'attività di Black Basta è rimasta costante tra Q2 e Q3 con 50 vittime in ciascuno.
- Hive: L'alveare sembra aver aumentato notevolmente la sua attività rispetto a Q2 di circa il 67%.
- Alphv/BlackCat: l’attività di questa operazione è diminuita di circa il 28% da Q2 a Q3.
- BianLian: BianLian è un gruppo di ransomware relativamente nuovo che si è rapidamente fatto strada tra i primi cinque di questo mese.
I principali settori del ransomware
Secondo KELA, il settore più preso di mira dal ransomware per questo trimestre è stato quello dei servizi professionali. LockBit, Hive e Alphv sono stati responsabili di circa la metà degli attacchi in questo settore. I prossimi settori più mirati sono stati la produzione e i prodotti industriali e la sanità.
Principali Paesi con ransomware
Gli Stati Uniti sembrano essere il paese più preso di mira per questo trimestre, con il 40% degli attacchi KELA che hanno avuto un impatto sulle aziende statunitensi. Dopo gli Stati Uniti ci sono Regno Unito, Francia, Germania e Spagna.
Vendite di accesso alla rete
Per Q3 KELA ha tracciato oltre 570 elenchi di accesso alla rete in vendita, con un prezzo richiesto cumulativo di circa $ 4 milioni, anche se un accesso è stato offerto per $ 3 milioni di sé. Questo numero è un aumento significativo rispetto ai circa $ 660.000 richiesti in Q2. Tuttavia, escludendo il singolo valore di 3 milioni di dollari, la differenza non sarebbe così ampia.
Escludendo questa offerta, il prezzo medio per l'accesso era di circa $ 2.800 per Q3 rispetto a $ 1.500 per Q2. Il prezzo medio riflette una variazione più significativa da $ 300 in Q2 a $ 1350 in Q3. Questo aumento mostra che gli attori hanno offerto annunci più costosi in generale per questo trimestre.
Risultati dell’accesso iniziale del broker
Circa 110 attori sono stati impegnati nella vendita di accessi di rete, che non è lontano dal numero di attori nel trimestre precedente.
Principali broker di accesso iniziale
Ognuno dei primi tre IAB offerti ovunque da 40-100 accessi per la vendita.
- R1z: Questo aggressore si è unito ai forum del crimine informatico nel 2019 , ma ha iniziato a vendere l'accesso alla rete solo nel luglio 2022. L'attore tende a vendere vulnerabilità di esecuzione di codice remoto e ha pubblicato circa 100 elenchi per Q3.
- Salvador_Dali: Questo attore è stato un IAB dal e si maggio 2022 rivolge principalmente alle aziende con sede negli Stati Uniti. Questo attore in genere non specifica il tipo di accesso o il prezzo.
- Orangecake: Questo attore è attivo da e di settembre 2021 solito offre l'accesso VPN-RDP in vendita. Questo attore ha dimostrato un’ottima reputazione sui forum ed è stato persino visto collaborare con vari gruppi di ransomware.
Principali paesi e settori target IAB
Gli Stati Uniti sono stati il paese più preso di mira dagli IAB, così come lo era nel Q2, con il 30% del numero totale di vittime. Gli Stati Uniti sono seguiti da Regno Unito, Canada e India. Il settore dei servizi professionali è stato quello più preso di mira dagli IAB, seguito dai prodotti manifatturieri e industriali e dal settore tecnologico.
Commenti degli analisti da parte del Cyber Threat Intelligence Team di Tanium
“È importante ricordare che sarebbe impossibile per un’azienda raccogliere informazioni su ogni singolo attacco informatico in tutto il mondo per un determinato periodo di tempo, soprattutto considerando quanti potrebbero non essere segnalati o non essere attribuiti. È anche necessario prendere questi dati con un pizzico di sale, in quanto CTI non può confermare che siano completamente completi. "
“CTI ha riferito su tutte le operazioni che KELA ha elencato nei suoi gruppi di ransomware più importanti e ha anche riferito pesantemente su IAB negli ultimi mesi che si allinea abbastanza bene con quanto riportato da KELA. Ciò che potrebbe essere più degno di nota da trarre da questi dati è il fatto che gli attori delle minacce stanno offrendo l’accesso alla rete a un prezzo molto più alto rispetto allo scorso trimestre. Potrebbe essere che i criminali informatici siano disposti a pagare un importo maggiore per entrare nel mercato? O gli IAB stanno diventando più avidi con le loro offerte?”
Hai informazioni su queste storie che vuoi condividere? Visita il forum di discussione di Tanium per iniziare una conversazione.
Per ulteriori informazioni, aggiorna le nostre recenti informazioni sulle minacce informatiche.
