Nel rapporto di questa settimana trattiamo l’ultima campagna condotta da Kimsuky, un attore malintenzionato nordcoreano sostenuto dallo Stato, che garantisce che il proprio payload venga scaricato esclusivamente dalle vittime designate. La natura mirata di questa attività rappresenta un cambiamento di strategia da parte di questo attore malintenzionato opportunista, il quale si impegna inoltre a fondo per ostacolare il reverse engineering delle proprie campagne.
Di seguito è riportata una sintesi di una campagna di spionaggio informatico sostenuta dalla Cina, volta a diffondere il framework di exploit ScanBox. La campagna TA423-operated si è rivolta principalmente alle agenzie governative australiane e alle testate giornalistiche.
Infine, diamo una prima occhiata al nuovo e pericoloso ransomware Agenda, una variante scritta nel linguaggio di programmazione Go e che è stata osservata mentre distribuiva varianti personalizzate, realizzate su misura per ciascuna vittima designata.
1. In che modo gli hacker di Kimsuky garantiscono che i loro attacchi malware colpiscano solo obiettivi validi
L’attore malintenzionato nordcoreano Kimsuky sta ora adottando misure per garantire che i propri payload dannosi (si apre in una nuova scheda) vengano scaricati solo da destinatari legittimi, anziché finire sui sistemi dei ricercatori di sicurezza.
Kimsuky (si apre in una nuova scheda) è un gruppo di spionaggio informatico con sede nella Corea del Nord, attivo almeno dal 2012. Il gruppo si è storicamente concentrato su attacchi mirati contro enti governativi e centri di ricerca sudcoreani e, da allora, ha ampliato le proprie operazioni fino a includere attacchi contro organizzazioni con sede negli Stati Uniti, in Russia, in Europa e negli Stati membri delle Nazioni Unite.
Ad oggi, Kimsuky ha concentrato le proprie attività di raccolta di informazioni principalmente su questioni di politica estera e di sicurezza nazionale relative alla penisola coreana, alla politica nucleare e alle sanzioni.
- Nella nuova campagna di Kimsuky, che Kaspersky ha denominato GoldDragon, la catena di infezione ha inizio con un’e-mail di spear-phishing contenente un documento Word con una macro incorporata.
- Parte della catena di attacco della campagna consiste in una fase di verifica, i cui risultati determinano se l’utente riceva o meno un documento dannoso.
- I documenti dannosi inviati alla vittima contengono una macro che serve a scaricare la fase successiva del payload. La macro, sebbene semplice, avvia diverse shell di comando figlie Windows con l’intento di eludere l’analisi basata sul comportamento. La macro finisce per eseguire un payload progettato per avviare un'applicazione HTML di tipo " Microsoft ".
Kaspersky ritiene che gli obiettivi di questa campagna siano persone o entità legate alla politica e alle attività diplomatiche, il che è in linea con gli obiettivi storicamente perseguiti da Kimsuky.
In che modo gli hacker del gruppo “Kimsuky” garantiscono che il proprio malware raggiunga solo obiettivi validi - @billtoulas bleepingcomputer.com/news/security/…
Le nuove misure di sicurezza di Kimsuky
Kimsuky ha implementato nuove misure di sicurezza per garantire che i payload dannosi vengano scaricati esclusivamente dai destinatari autorizzati. Queste nuove misure di protezione sono talmente efficaci che Kaspersky ha segnalato l’impossibilità di acquisire i payload finali, anche dopo essersi collegata al server di comando e controllo (C2) di Kimsuky.
Le e-mail di spear-phishing della campagna contengono un link che reindirizza la vittima verso un server di primo livello denominato “ C2 ”, il quale confronta l’host compromesso con un elenco di obiettivi validi e verifica la presenza di diverse condizioni che devono essere soddisfatte prima che il documento dannoso venga consegnato.
Se la vittima non figura nell’elenco degli obiettivi, le viene inviato un documento innocuo. Per quanto possa sembrare strano, sia i documenti dannosi che quelli innocui vengono trasmessi all’utente tramite lo stesso script. Il documento rilasciato dalla prima fase C2 contiene una macro dannosa che collega la vittima alla seconda fase C2, recupera il payload della fase successiva e lo esegue tramite il processo mshta.exe.
Uno dei C2 script genera un indirizzo di blog univoco basato sull’indirizzo IP della vittima, troncando gli ultimi 20 caratteri del valore hash dell’indirizzo. I ricercatori ritengono che l'intento sia quello di gestire un blog falso dedicato a ciascuna vittima, al fine di conferire un'apparenza di legittimità alla truffa e ridurre la probabilità di essere scoperti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Kimsuky è un attore malintenzionato molto sofisticato che recentemente ha fatto notizia per aver utilizzato , Google e Chrome per sottrarre indirizzi e-mail (si apre in una nuova scheda),e appartenenti a soggetti di interesse., e per sottrarre indirizzi e-mail (si apre in una nuova scheda), e appartenenti a soggetti di interesse. La verifica di ogni singolo utente che clicca sul link dannoso costituisce un’attività difensiva che richiede un notevole livello di impegno e risorse; ciò dimostra il crescente grado di maturità di Kimsuky e mette in luce il suo obiettivo finale: condurre attività di spionaggio informatico altamente mirate. È evidente che il gruppo opportunista farà di tutto per ostacolare qualsiasi potenziale attività di reverse engineering.”
2. Gli hacker cinesi prendono di mira il governo australiano con il malware ScanBox
Proofpoint e PwC (si apre in una nuova scheda) hanno individuato congiuntamente una campagna di spionaggio informatico che utilizza il framework di exploit ScanBox. Il rapporto approfondisce l'attacco di tipo "watering hole", che si ritiene sia stato perpetrato da TA423.
TA423, noto anche come Red Ladon e APT40, è un attore malintenzionato specializzato in spionaggio informatico con sede in Cina che si ritiene sia attivo dal 2013. Nel corso degli anni, il gruppo ha preso di mira una serie di organizzazioni in risposta agli eventi geopolitici verificatisi nella regione dell’Asia-Pacifico, concentrandosi in particolare sul Mar Cinese Meridionale.
Tra le organizzazioni prese di mira in precedenza figuravano appaltatori del settore della difesa, produttori, università, agenzie governative, studi legali coinvolti in controversie diplomatiche e società straniere coinvolte nella politica australasiatica o nelle operazioni nel Mar Cinese Meridionale.
Il gruppo TA423 ha ripetutamente attirato l’attenzione delle forze dell’ordine internazionali; proprio lo scorso anno, l’Ufficio per la lotta al crimine organizzato ( ) del Dipartimento di Giustizia degli Stati Uniti ha incriminato (si apre in una nuova scheda) diversi membri del gruppo.
La recente campagna di TA423
La recente campagna denominata “TA423’s ” ha avuto inizio su aprile 2022 e ha comportato l’invio di e-mail di phishing che reindirizzavano le vittime verso un sito web dannoso, il quale distribuiva il payload del malware ScanBox alle vittime.
La campagna era rivolta principalmente alle agenzie governative australiane a livello locale e federale, alle testate giornalistiche australiane e alle aziende manifatturiere dell’industria pesante a livello mondiale che si occupano della manutenzione di parchi eolici nel Mar Cinese Meridionale.
Le e-mail di phishing relative a ScanBox provenivano da indirizzi e-mail Gmail e Outlook che, secondo Proofpoint, sarebbero stati creati dallo stesso autore dell’attacco. Le e-mail affermano di provenire da una persona che sta avviando un sito web di notizie e che cerca il feedback degli utenti sul proprio sito; contengono inoltre un link al sito dannoso. Il sito dannoso URL sembra essere personalizzato per ciascun bersaglio, ma tutti reindirizzano alla stessa pagina per distribuire lo stesso payload ScanBox.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Non è certo una grande sorpresa che gli attori con base in Cina continuino a prendere di mira organizzazioni le cui attività sono in linea con gli interessi dello Stato. Le recenti attività del TA423’s ci ricordano che, nonostante gli sforzi delle forze dell’ordine statunitensi, tali azioni rappresentano il più delle volte un tentativo di placare l’opinione pubblica e promuovere l’idea che l’America abbia un raggio d’azione esteso quando si tratta di perseguire gli hacker internazionali. Gli autori di attacchi informatici sostenuti dallo Stato cinese sanno benissimo di essere difficili da rintracciare e ancora più difficili da perseguire penalmente. Nemmeno un’accusa pubblica da parte del Dipartimento di Giustizia degli Stati Uniti è riuscita a impedire a questo gruppo di portare a termine la missione di spionaggio che si era prefissato. "L'unico aspetto positivo è la comprensione delle metodologie utilizzate da tali gruppi che tali atti di accusa spesso consentono di acquisire."
"Questa attività potrebbe inoltre mettere in evidenza un ritorno alle basi per il corso TA423. L’ultimo utilizzo documentato di ScanBox risale a una campagna 2018 , al termine della quale l’autore dell’attacco è passato all’iniezione di modelli RTF e all’uso di macro dannose. È possibile che ScanBox stia vivendo una rinascita tra gli attori sostenuti dallo Stato cinese? “Il tempo lo dirà.”
3. Il nuovo ransomware Agenda, personalizzato per ciascuna vittima
Un recente rapporto di Trend Micro pubblicato su (si apre in una nuova scheda) rivela l’esistenza di un nuovo ransomware mirato scritto nel linguaggio di programmazione Go.
Come evidenziato dalle note di riscatto, il ransomware si chiama Agenda e si ritiene che abbia come obiettivo le aziende in Asia e in Africa. Agenda è in grado di riavviare i sistemi in modalità provvisoria, tenta di arrestare numerosi processi e servizi specifici del server e dispone di diverse modalità di funzionamento.
Trend Micro ha raccolto e analizzato diversi campioni, tutti file PE a 64 bit di tipo “ Windows ”, scritti in Go e destinati a sistemi basati su processori Windows. È stato osservato che il gruppo responsabile della diffusione del malware prendeva di mira organizzazioni operanti nei settori sanitario e dell’istruzione in Indonesia, Arabia Saudita, Sudafrica e Thailandia.
Ogni campione di ransomware era personalizzato in base alla vittima designata, includendo dettagli quali l’ID aziendale, la chiave RSA, i processi e i servizi da terminare prima della crittografia, nonché l’importo del riscatto. I ricercatori ritengono che il gruppo di ransomware Agenda offra ai propri affiliati la possibilità di personalizzare i payload binari configurabili per ciascuna vittima.
La catena di eliminazione di Agenda
Trend Micro ha analizzato in dettaglio un caso specifico riguardante il ransomware Agenda e ha scoperto che l’autore dell’attacco utilizzava un server Citrix accessibile al pubblico come punto di ingresso.
Si ritiene che l’autore dell’attacco abbia sfruttato un account valido per accedere al server e successivamente muoversi all’interno della rete della vittima, poiché il ransomware era configurato con account validi e dotati di privilegi.
I ricercatori sottolineano che sono trascorsi meno di due giorni tra l'accesso al server Citrix e l'infezione da ransomware. L'autore dell'attacco ha installato e utilizzato strumenti di scansione, quali Nmap e Nping, per eseguire una scansione della rete il primo giorno, per poi creare un oggetto di criteri di gruppo (GPO) prima di distribuire il ransomware.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Il ransomware Agenda si è dimostrato altamente personalizzabile e si inserisce perfettamente nel filone di molte altre operazioni di ransomware che stanno sia aumentando la propria compatibilità multipiattaforma sia continuando a evolvere le proprie tecniche per mantenere il proprio successo e la propria attrattiva nei confronti dei potenziali affiliati. La capacità di Agenda di sfruttare la funzione “modalità sicura” di un dispositivo le consente di eseguire la propria routine di crittografia in modo praticamente impercettibile. Agenda costituisce l’ennesimo esempio di come le barriere all’ingresso per gli autori di minacce che intendono sferrare attacchi ransomware siano sempre più basse, a prescindere dal livello di sofisticazione.”
Avete aggiornamenti o approfondimenti da condividere riguardo alle notizie di questa settimana? Avviate una conversazione all’indirizzo o visitando il nostro forum di discussione. Per ulteriori approfondimenti, consultate le nostre recenti sintesi sulle minacce informatiche .
