Questa settimana vi presentiamo uno studio recente secondo cui il 87% delle bande di autori di ransomware sta sfruttando macro dannose. Queste statistiche, raccolte prima dell’attuazione della nuova politica di blocco dei macro da parte di Microsoft', sono in netto contrasto con un rapporto di Proofpoint che rivela come i phisher si stiano adattando alla politica di Microsoft'a seguito della sua introduzione. Inoltre, gli autori degli attacchi stanno ora utilizzando la piattaforma “as-a-service” Dark Utilities C2 nelle campagne di malware. Inoltre, il ransomware LockBit sta sfruttando in modo improprio Windows Defender per caricare Cobalt Strike: un ulteriore esempio di come i criminali informatici ricorrano sempre più spesso alle tecniche “living-off-the-land” (LotL) e abusino di strumenti affidabili e servizi cloud per archiviare e distribuire i propri payload.
1. Uno studio sul dark web suggerisce che il 87% delle bande di autori di ransomware sfrutti macro dannose
Venafi, azienda specializzata nella gestione dell’identità delle macchine, ha pubblicato una nuova ricerca secondo cui il 87% dei ransomware individuati sul dark web viene diffuso tramite macro dannose per infettare i sistemi presi di mira.
Venafi è giunta a questa conclusione grazie a una ricerca condotta in collaborazione con Forensic Pathways, fornitore di servizi di intelligence criminale, svoltasi tra il novembre 2021 e l’ marzo 2022. La ricerca ha analizzato 35 milioni di URL del dark web, compresi quelli relativi a mercati e forum dedicati all’hacking. I ricercatori hanno individuato 475 pagine web che promuovono prodotti e servizi sofisticati legati al ransomware, con diversi gruppi di spicco impegnati in una campagna di marketing aggressiva volta a promuovere programmi di ransomware-as-a-service (RaaS) presso potenziali affiliati.
Uno studio sul dark web condotto da @Venafi suggerisce che il 87% delle bande di ransomware sfrutti macro dannose. bit.ly/3bFBeUE
Punti chiave
Microsoft ha iniziato a bloccare per impostazione predefinita le macro XL4 e VBA per gli utenti di Office nelle versioni ottobre 2021 e febbraio 2022, rispettivamente. (A ciò ha fatto seguito, poche settimane dopo, l’annuncio da parte del colosso del software secondo cui avrebbe temporaneamente sospeso la popolare misura; tuttavia, Microsoft ha nuovamente cambiato rotta, reintroducendo la tanto apprezzata misura poco dopo.)
Considerando la tempistica sia dello studio che dell’iniziativa intrapresa d Microsoft per proteggere i propri prodotti Office, non sorprende che la conclusione principale sottolineata dai ricercatori di Venafi sia la loro scoperta secondo cui il 87% dei ransomware individuati sul dark web sarebbe stato diffuso, secondo quanto riferito, tramite macro dannose. Tuttavia, se si considera il periodo in cui Venafi ha condotto la propria ricerca, la cosa risulta un po’ meno sorprendente, poiché Microsoft ha implementato la nuova politica sulle macro solo tra aprile e giugno del 2022 , subito dopo la conclusione dello studio di Venafi. Anche dopo aver temporaneamente disattivato la politica, l’ Microsoft l’ha prontamente reintrodotta nell’ luglio 2022.
Infatti, sebbene la statistica del “ “87%” riportata da Venafi possa sembrare sbalorditiva a prima vista, occorre tenere presente che, da quando Microsoft ha introdotto la politica di blocco delle macro, il numero di campagne che sfruttano file contenitore, tra cui ISO e RAR, nonché allegati di tipo “ Windows ” (LNK), è aumentato di quasi il 175%, secondo uno studio di Proofpoint su come gli autori di attacchi di phishing si siano adattati in un mondo “post-macro”. Ecco un indizio: si stanno adattando perfettamente, utilizzando file container e altri metodi per aggirare il meccanismo di sicurezza di Microsoft che blocca le macro.
Di seguito sono riportati alcuni altri punti chiave emersi dalla ricerca condotta da Venafi:
- Sono state individuate 30 diverse varianti di ransomware tra gli annunci pubblicati sui marketplace e nelle discussioni sui forum.
- Molte varianti di ransomware attualmente in commercio — quali Babuk, GoldenEye, Darkside/BlackCat, Egregor, HiddenTear e WannaCry — sono state impiegate con successo in attacchi di grande risonanza.
- Le varianti di ransomware utilizzate in attacchi di grande risonanza comportano un costo più elevato per i servizi correlati. Ad esempio, l’annuncio più costoso era di 1.262 dollari per una versione personalizzata del ransomware Darkside, utilizzata nel famigerato attacco ransomware alla Colonial Pipeline del 2021.
- I listati del codice sorgente relativi a ransomware ben noti raggiungono generalmente prezzi più elevati. Ad esempio, il codice sorgente di Babuk è in vendita a 950 dollari, mentre quello di Paradise è in vendita a 593 dollari. Ciò è interessante poiché il codice sorgente di Babuk è trapelato molto tempo fa ed è disponibile da allora sui forum del dark web.
I ricercatori hanno inoltre individuato un’ampia gamma di servizi e strumenti che facilitano agli autori di attacchi inesperti il lancio di attacchi ransomware sofisticati. Tra i servizi con il maggior numero di inserzioni figurano quelli che includono il codice sorgente, i servizi di compilazione, i servizi di sviluppo personalizzati e i pacchetti di ransomware corredati da tutorial passo dopo passo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questo studio offre una panoramica di un periodo in cui le macro rappresentavano il meccanismo di diffusione più diffuso per una stragrande maggioranza delle operazioni di ransomware.» Non è chiaro quale sia stato il fattore determinante che ha spinto l’ Microsoft a decidere di implementare una politica che blocchi le macro per impostazione predefinita — soprattutto se si considera che il phishing è — e lo è stato per anni — il vettore di infezione iniziale per eccellenza, con innumerevoli campagne di phishing che sfruttano documenti Microsoft modificati in modo da contenere macro dannose.
Detto questo, a prescindere dalle ragioni alla base della tempistica di tale politica, Microsoft merita un elogio per aver intrapreso un’iniziativa proattiva volta a ridurre in modo inestimabile la superficie di attacco delle organizzazioni di tutto il mondo.”
2. Gli autori degli attacchi stanno sfruttando la piattaforma Dark Utilities ‘C2aaS’ in campagne di malware rivolte ai sistemi Windows e Linux
Un recente rapporto del team di intelligence Cisco Talos analizza la nuova piattaforma “Dark Utilities” di , che fornisce agli autori degli attacchi funzionalità complete di comando e controllo (C2).
Sin dal suo lancio iniziale all’inizio del 2022, i ricercatori hanno rilevato in circolazione campioni di malware che sfruttano la piattaforma per facilitare l’accesso remoto.
Recentemente è apparsa una nuova piattaforma denominata " C2 ", denominata "" #DarkUtilities , e gli autori degli attacchi non hanno perso tempo a sfruttarla per le loro campagne #malware . Ecco cosa sappiamo su questo "C2aaS" cs.co/6012z4Pns
Che cos’è Dark Utilities?
Dark Utilities è una nuova piattaforma C2 individuata per la prima volta all’inizio del 2022 che offre una varietà di servizi, tra cui l’accesso remoto ai sistemi, funzionalità DDoS e il mining di criptovalute.
La piattaforma C2-as-a-service (C2aaS) mette a disposizione degli avversari una serie di payload da eseguire sui sistemi delle vittime, consentendo all'autore dell'attacco di registrarsi al servizio e di stabilire un canale C2 .
Dark Utilities supporta attualmente payload basati su Windows, Linux e Python, rendendo ancora più agevole per gli autori degli attacchi prendere di mira più piattaforme. Ciò è inoltre in linea con le ricerche attuali, secondo cui le piattaforme malware più versatili (in grado di colpire più sistemi operativi) risultano più attraenti per gli autori delle minacce e ottengono risultati migliori sui mercati del dark web.
Attualmente, la piattaforma conta circa 3.000 utenti iscritti, che pagano 9,99 € (10,21 $) per l’accesso alla piattaforma, ai payload e agli endpoint API. Il gestore della piattaforma ha inoltre creato delle comunità su Discord e Telegram per fornire supporto tecnico e assistenza ai propri clienti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il prezzo contenuto di questa piattaforma C2 , unito alla sua ampia gamma di funzionalità, rende Dark Utilities particolarmente allettante per gli autori di minacce alla ricerca di un modo semplice per commettere reati informatici di qualsiasi natura.»
Possiamo già constatare il successo che questa C2aaS sta riscuotendo, con i suoi 3.000 utenti iscritti nel giro di pochi mesi. Ancora più degno di nota è l’utilizzo, da parte della piattaforma, dell’InterPlanetary File System (IPFS) per ospitare i propri payload dannosi. Come già segnalato in precedenza da CTI, gli autori delle minacce ricorrono sempre più spesso agli URL e all’infrastruttura IPFS per ospitare i propri payload, grazie alle sue capacità di archiviazione decentralizzata e distribuita in rete peer-to-peer (P2P). IPFS facilita l’archiviazione e la condivisione di contenuti dannosi ed è altamente resistente alle interferenze da parte delle forze dell’ordine grazie alla sua struttura.
CTI prevede che gli URL associati a IPFS continueranno a essere sempre più utilizzati dai criminali informatici.”
3. Il ransomware LockBit sfrutta Windows Defender per caricare Cobalt Strike
Una nuova ricerca condotta da SentinelOne rivela che l’operazione “LockBit 3,0 ”, condotta dall’ , sta sfruttando abusivamente lo strumento a riga di comando di Windows Defender “ Windows ” per eseguire il side-loading di DLL dannose che decrittografano e installano i beacon di Cobalt Strike sui sistemi compromessi.
Il ransomware LockBit 3,0 , noto anche come , LockBit Black, rappresenta un’evoluzione del modello LockBit “ransomware-as-a-service” (RaaS). Si ritiene che LockBit 3,0 sia stato creato intorno al giugno 2022 dopo che sono stati individuati bug critici nella versione 2,0 di LockBit.
La nuova versione include diverse nuove funzionalità e miglioramenti:
- Al fine di migliorare la resilienza, gli operatori hanno adottato un approccio proattivo nell’istituire diversi siti mirror per i propri dati trapelati e nel rendere pubblici gli URL dei siti. L’organizzazione ha inoltre aggiunto uno strumento di ricerca istantanea al proprio sito dedicato alle fughe di informazioni (una tendenza di cui CTI aveva già riferito in precedenza, prevedendo che si sarebbe diffusa a macchia d’olio tra le operazioni di estorsione e ransomware – e così è stato).
- Sono state introdotte nuove funzionalità di gestione per gli affiliati del RaaS.
- Zcash è stato aggiunto come mezzo di pagamento per le vittime, oltre a Monero e Bitcoin.
- Garantisce la persistenza tramite l'installazione dei servizi di sistema. Ogni esecuzione del payload installa diversi servizi.
- Il programma salva una copia di se stesso nella directory %programdata% e si avvia da tale processo.
- Nuove tecniche anti-analisi, tra cui il code packing, l’offuscamento e la risoluzione dinamica degli indirizzi delle funzioni, i trampolini di funzione e le tecniche di debug.
Ora, SentinelOne ha rilevato che LockBit utilizza uno strumento legittimo, Windows Defender, per caricare i beacon di Cobalt Strike.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Non è chiaro il motivo per cui LockBit abbia deciso di utilizzare un Defender dell’ Windows e per l’installazione laterale dei beacon di Cobalt Strike, ma molto probabilmente si tratta di un tentativo di aggirare le soluzioni di sicurezza standard. È importante che le organizzazioni siano consapevoli del fatto che gli autori delle minacce utilizzano (e hanno utilizzato) strumenti legittimi per facilitare il caricamento dei beacon di Cobalt Strike, e si tratta di una tendenza che il CTI ha osservato intensificarsi negli ultimi tempi. Sebbene non sia direttamente collegato a questa vicenda, un altro esempio degno di nota è rappresentato dal fatto che anche altri autori di minacce stanno abusando sempre più spesso di risorse cloud affidabili e accessibili al pubblico per archiviare e diffondere malware. Le organizzazioni devono monitorare le modifiche apportate ai propri strumenti di sicurezza critici ed evitare di trascurare attività sospette derivanti da strumenti legittimi semplicemente perché si tratta di strumenti considerati affidabili. Lo stesso vale per i servizi cloud affidabili su cui le aziende fanno affidamento per sostenere le proprie attività quotidiane.”
Individuate le minacce informatiche con Tanium
Gli hacker stanno lavorando senza sosta per sferrare attacchi sofisticati e mirati contro le aziende di tutti i settori. Le aziende devono passare all’offensiva e individuare le minacce prima che queste abbiano ripercussioni sulle operazioni.
La nostra piattaforma “ Converged Endpoint Management ” (XEM) semplifica questo processo, fornendo funzionalità avanzate di individuazione delle minacce. Per scoprire la nostra piattaforma in azione, provatela oggi stesso all’indirizzo.
