Nella rassegna di questa settimana, CTI esamina un rapporto di Trend Micro che tratta del precedente intervento delle forze dell’ordine contro LockBit, compresa la loro analisi di una versione del ransomware che era in fase di sviluppo al momento dell’intervento. Successivamente, CTI analizza un recente rapporto di Sophos che valuta l’impatto degli attacchi ransomware. Infine, CTI conclude con una panoramica su un attore malintenzionato noto come Earth Freybug, che sta utilizzando un nuovo malware denominato UNAPIMON.
1. L’impatto delle forze dell’ordine su LockBit
Trend Micro ha pubblicato un rapporto che analizza il precedente intervento delle forze dell’ordine contro LockBit, includendo dettagli su come LockBit abbia continuato a operare dopo tale intervento. Il rapporto include inoltre un'analisi di una versione del ransomware LockBit che era in fase di sviluppo al momento dell'incidente.
Informazioni sullo smantellamento di LockBit
I siti dedicati alle fughe di dati associati a e LockBit hanno iniziato a visualizzare un messaggio di errore 404 su 19 febbraio. Questo è stato il risultato dell’Operazione Cronos, un’operazione delle forze dell’ordine volta a smantellare l’infrastruttura di LockBit.
Un’ora dopo che Trend Micro aveva rilevato questo messaggio di errore sul sito, quest’ultimo è tornato online con una pagina iniziale delle forze dell’ordine che confermava che i siti erano sotto il controllo delle forze dell’ordine. Successivamente, le forze dell’ordine hanno aggiornato il sito in modo da riprodurre la pagina tradizionale di LockBit, includendo però contenuti relativi a comunicati stampa, atti di accusa e arresti.
In questa pagina le forze dell’ordine hanno inoltre fatto riferimento a LockBitSupp, il presunto ideatore di LockBit, sottolineando che l’account era stato bandito da forum dedicati alla criminalità informatica quali Exploit e XSS. La pagina riportava inoltre un annuncio secondo cui le chiavi di decrittazione sarebbero state messe a disposizione delle vittime.
Le forze dell’ordine hanno poi divulgato alcuni dettagli relativi al pannello di amministrazione, rivelando di essere riuscite ad accedere alle chat tra gli affiliati e le vittime, il che ha consentito loro di identificare queste ultime. Sono riusciti a identificare 193 account di affiliati, oltre a vari account di prova e all’account amministratore.
Informazioni su LockBit-NG-Dev
Trend Micro ha ottenuto e analizzato un campione di LockBit-NG-Dev, che ritiene essere un’altra versione del ransomware attualmente in fase di sviluppo.
L'analisi di Trend Micro relativa a questa versione è stata inoltre pubblicata all'indirizzo sul sito di divulgazione , sequestrato dalle forze dell'ordine. Questa versione si differenziava dalle precedenti varianti di LockBit in quanto era scritta in .NET, compilata tramite CoreRT ed era indipendente dalla piattaforma.
L'attività di LockBit dopo l'interruzione
In risposta a tale interruzione, LockBitSupp ha annunciato l’intenzione di creare nuovi siti Onion. Su un forum clandestino, il gruppo ha rivelato di essere alla ricerca di domini .gov, .edu e .org, segnalando così l’intenzione di attaccare organizzazioni governative.
Il nuovo sito di divulgazione di LockBit sembrava promettente, ma dato che LockBitSupp era ancora bandito da diversi forum, non sembrava che potesse decollare. A seguito dell’interruzione, si è registrato un calo molto evidente del numero effettivo di attacchi LockBit.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
LockBit ha cercato di rimanere a galla in seguito a un intervento delle forze dell’ordine, arrivando persino a ripubblicare vecchi dati sul proprio sito e a modificare la struttura delle cartelle per far sembrare che fossero stati aggiornati di recente. Questa azione coordinata da parte di diverse forze dell’ordine è stata fondamentale per garantire che LockBit non potesse riprendere immediatamente le proprie attività normali.
Ciò non significa, tuttavia, che LockBit non tornerà mai più. Dopotutto, spesso le agenzie non riescono a smantellare completamente le organizzazioni criminali informatiche, ma talvolta si limitano a ostacolarne le attività solo per un breve periodo di tempo. Vale inoltre la pena ricordare che i gruppi malintenzionati cambiano spesso nome, il che significa che gli autori e gli affiliati più esperti di LockBit potrebbero essere ancora in circolazione.
2. Le vulnerabilità non corrette favoriscono gli attacchi ransomware
Un recente rapporto di Sophos esamina l’impatto “ ” degli attacchi ransomware e rivela che quelli derivanti dallo sfruttamento di vulnerabilità non corrette hanno un impatto maggiore rispetto a quelli derivanti da credenziali compromesse.
Il rapporto analizza in che modo le conseguenze degli attacchi tendano a variare a seconda della causa principale, mettendo a confronto l’impatto finanziario, l’impatto operativo e la gravità complessiva.
Attacchi ransomware derivanti da vulnerabilità non corrette
Sophos ha rilevato che circa il 32% degli attacchi ransomware ha inizio con lo sfruttamento di una vulnerabilità non corretta.
Tale dato varia se si considerano i singoli settori: nei settori con i valori più elevati (energia, petrolio/gas e servizi di pubblica utilità), il 49% degli attacchi ransomware ha origine da vulnerabilità.
Sophos ha inoltre rilevato che tale percentuale aumenta in funzione delle dimensioni dell’organizzazione, il che è spesso dovuto al fatto che le organizzazioni più grandi dispongono di infrastrutture più estese e, di conseguenza, di un maggior numero di tecnologie da gestire.
Maggiore gravità
Come già osservato, Sophos ha riscontrato che gli attacchi ransomware derivanti dallo sfruttamento di una vulnerabilità sono più gravi, in particolare per quanto riguarda la compromissione dei backup, la crittografia dei dati e il pagamento dei riscatti.
- Il 75% degli attacchi ransomware che hanno tentato di compromettere i backup ha avuto esito positivo quando l’attacco è iniziato con lo sfruttamento di una vulnerabilità, rispetto a quelli iniziati con credenziali compromesse.
- Il 67% degli attacchi ha portato alla crittografia dei dati quando ha avuto inizio con lo sfruttamento di una vulnerabilità, rispetto al 43% degli attacchi iniziati con credenziali compromesse.
- Nel 71% dei casi in cui le organizzazioni sono state compromesse, i dati sono stati crittografati quando l’attacco è iniziato sfruttando una vulnerabilità, rispetto a solo il 45% dei casi in cui l’attacco è iniziato con credenziali compromesse.
Maggiore impatto finanziario e operativo
Non dovrebbe sorprendere il fatto che la presenza di vulnerabilità non corrette nel proprio ambiente possa mettere a rischio la propria organizzazione. Sophos ha riscontrato che gli attacchi ransomware che hanno origine da una vulnerabilità sfruttata hanno un impatto finanziario e operativo maggiore rispetto a quelli che hanno avuto inizio con credenziali compromesse.
Dall’indagine è emerso che la causa principale non ha modificato l’importo complessivo del riscatto, ma ha influito su chi ha finanziato il pagamento. Ad esempio, il 31% delle organizzazioni ha sostenuto interamente i costi internamente quando l’attacco è partito da una vulnerabilità, rispetto a solo il 2% dei casi in cui l’attacco è partito da credenziali compromesse.
Dal punto di vista operativo, il 45% delle organizzazioni vittime di attacchi ha impiegato più di un mese per riprendersi quando l’attacco è iniziato con lo sfruttamento di una vulnerabilità, mentre il 37% ha impiegato più di un mese quando l’attacco è iniziato con credenziali compromesse.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sophos ha fornito le proprie raccomandazioni per proteggersi dagli attacchi ransomware derivanti da vulnerabilità non corrette, ma in realtà tutto si riduce a un unico aspetto: gestione delle patch.
L'applicazione delle patch, in particolare se effettuata tempestivamente, è fondamentale per contribuire a ridurre il rischio di attacchi ransomware e di altri attacchi informatici. Poiché non tutti gli attacchi ransomware hanno origine da vulnerabilità, è altrettanto importante disporre di un monitoraggio continuo per poter reagire a ogni tipo di attività sospetta.
Come sottolinea Sophos, «la tecnologia da sola non può fermare ogni attacco» ed è necessario poter contare su difensori esperti.
3. Earth Freybug diffonde il malware UNAPIMON
È stato rilevato che un attore noto come Earth Freybug (un sottoinsieme di appartenente a APT41) utilizzava un nuovo malware denominato UNAPIMON.
L’attore si avvale di tecniche di tipo “living-off-the-land” e di malware personalizzato, come il nuovo UNAPIMON, per svolgere le proprie attività di spionaggio. Nell’ultima campagna, l’autore dell’attacco ha utilizzato tecniche quali il dirottamento delle DLL e l’unhooking delle API.
Il flusso di attacco di UNAPIMON
L'attacco ha inizio con un processo denominato vmtoolsd.exe, che crea un'attività pianificata la quale, successivamente, avvia un file batch preinstallato sul computer remoto.
I processi utilizzati nel flusso di attacco sono componenti legittimi di VMware e Windows.
Ricognizione
Una volta avviata l'attività pianificata, sul computer remoto viene eseguito un file batch precedentemente installato.
Il file batch esegue diversi comandi per raccogliere informazioni sul sistema infetto e le salva in un file di testo. Viene quindi configurata un’altra attività pianificata per eseguire un altro file batch e avviare una backdoor.
Caricamento laterale delle DLL
Il secondo file batch utilizza un servizio denominato SessionEnv per caricare una libreria inesistente, al fine di eseguire il side-loading di una DLL dannosa. Nell’ambito di tale processo, viene inserita una DLL che è stata identificata come malware UNAPIMON.
Uno sguardo più approfondito al malware UNAPIMON
UNAPIMON è un malware DLL piuttosto semplice, in quanto non è né compresso né offuscato. Il malware dispone di diverse tecniche che impediscono il monitoraggio dei processi figli.
Una volta caricato, crea un oggetto evento per la sincronizzazione e avvia il thread di aggancio. Verrà installato un hook tramite Microsoft Detours, un pacchetto open source disponibile all’indirizzo Microsoft , utilizzato per monitorare e strumentare le chiamate API sui dispositivi Windows . Ciò reindirizzerà le chiamate provenienti da un processo in cui è caricata la DLL verso l’hook; pertanto, il suo scopo principale è quello di disattivare l’hook sulle funzioni API critiche nei processi figli.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo attore malintenzionato è attivo da molto tempo e ha continuato ad avere successo grazie alla sua capacità di evolvere le proprie TTP.
Come dimostra questo ultimo attacco, tecniche semplici possono rivelarsi incredibilmente efficaci per gli autori delle minacce, rendendo al contempo più difficile per i difensori individuarle.
Molti autori di minacce stanno adottando questa mentalità del “ritorno alle origini”, poiché si è dimostrata efficace.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
