Nel Roundup di questa settimana, CTI apre le danze con un’indagine sul ritrovamento di sei pacchetti dannosi sul Python Package Index (PyPI). Si passa ora a un’analisi approfondita delle recenti notizie relative al framework malware “Raspberry Robin”, in grado di diffondersi autonomamente, che sta mostrando notevoli miglioramenti in termini di funzionalità e sembra seguire un nuovo modello di attacco, come dimostra il fatto che abbia preso di mira istituzioni finanziarie e assicurative in Europa. La rubrica “The Roundup” conclude con l’analisi condotta da CTI su un recente attacco malware di IcedID, nel corso del quale l’autore dell’attacco è riuscito a compromettere Active Directory e il dominio in meno di 24 ore dall’ottenimento dell’accesso iniziale.
1. I pacchetti PyPI dannosi utilizzano i tunnel di Cloudflare per eludere i firewall
Phylum ha individuato sei pacchetti dannosi di tipo “ ” sul Python Package Index (PyPI), che costituisce il repository ufficiale di Python per il software di terze parti. È emerso che tali pacchetti installavano trojan di accesso remoto (RAT) e malware finalizzato al furto di informazioni, utilizzando al contempo Cloudflare Tunnel per aggirare le restrizioni del firewall e consentire l’accesso remoto.
Come si è svolta la scoperta
Phylum ha segnalato per la prima volta un pacchetto denominato "pyrologin" su 22 dicembre 2022. A prima vista, questo pacchetto sembrava essere un malware Python standard, a parte il recupero di un file zip e alcune stringhe contenenti codice " PowerShell ". Successivamente, sul sito 28 dicembre, è stato individuato un pacchetto dannoso simile denominato easytimestamp. Il giorno successivo sono stati individuati discorder e discord-dev, che presentavano anch’essi somiglianze con il pyrologin originale. Infine, sul sito 31 dicembre, i ricercatori hanno individuato i file style[.]py e pythonstyles, entrambi simili alle scoperte iniziali.
La scoperta di questo e di molti altri pacchetti dannosi simili suggerisce che non si sia trattato di una pubblicazione isolata, bensì di parte di un attacco più ampio.
I sei pacchetti dannosi rilevati da Phylum hanno registrato numerosi download e sono stati successivamente rimossi da PyPI:
- pyrologin – 165 download
- easytimestamp – 141 download
- discorder – 83 download
- discord-dev – 228 download
- style.py – 193 download
- pythonstyles – 130 download
L'installazione di uno di questi pacchetti dannosi potrebbe comportare le seguenti conseguenze:
- La fuga di informazioni sensibili
- Persistenza consolidata
- Installazione di un programma di registrazione dei tasti
- Installazione di un tunnel Cloudflare
- Avvio di un’ App in flask, a cui l’autore dell’attacco accede tramite il tunnel sopra indicato
Perché dovrebbe interessarLe
Secondo Phylum, questo malware è come «un RAT sotto steroidi». Comprende funzionalità RAT di base integrate in un’interfaccia grafica web, con funzionalità di desktop remoto e uno stealer.
Pertanto, anche qualora un malintenzionato non riuscisse a garantire la persistenza o a far funzionare un’utilità di desktop remoto, la componente di furto dei dati procederà comunque all’esfiltrazione dei dati che individua.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«I risultati emersi da Phylum costituiscono un ulteriore esempio di come gli autori degli attacchi prendano di mira i repository di pacchetti open source per sferrare attacchi di tipo “supply chain”, una tendenza che probabilmente è destinata a proseguire anche in futuro.»
"Ciò che rende questo caso particolarmente singolare rispetto ad alcuni dei pacchetti open source dannosi individuati in precedenza è l’utilizzo del software legittimo Cloudflare Tunnel per accedere in remoto al computer compromesso. Cloudflare Tunnel consente di proteggere e crittografare il traffico verso qualsiasi tipo di infrastruttura senza un indirizzo IP pubblicamente instradabile e permette ai server web di diventare accessibili al pubblico tramite Cloudflare senza dover configurare i firewall."
2. Il nuovo malware Raspberry Robin prende di mira gli istituti finanziari in Portogallo e in Spagna
Gli hacker stanno ora sfruttando il framework di malware automatizzato e “diffondibile come un worm”, noto come Raspberry Robin, per prendere di mira istituti finanziari e assicurativi spagnoli e portoghesi.
Questo worm funge da loader per altri malware e si diffonde ad altri dispositivi all’interno delle reti delle vittime. Secondo Security Joes, Raspberry Robin è un «, un framework automatizzato ben progettato» che «consente agli autori degli attacchi, dopo l’infezione, di eludere il rilevamento, muoversi lateralmente e sfruttare infrastrutture cloud affidabili di noti fornitori di servizi di hosting dati quali Discord, Azure e Github...»
Uno sguardo retrospettivo su Raspberry Robin
CTI sta monitorando Raspberry Robin sin dal luglio 2022. La nostra ricerca ci ha portato a un’analisi approfondita del malware di Red Canary, che per prima ha rilevato il cluster di attività dannose associato all’indirizzo settembre 2021.
All’epoca, il malware era stato descritto come un worm che spesso viene installato tramite un'un USB . Tra le vittime figuravano organizzazioni legate al settore tecnologico e manifatturiero. Nello stesso mese, l’ Microsoft e ha collegato Raspberry Robin alla famigerata organizzazione criminale informatica russa nota come Evil Corp.
Le ultime notizie su Raspberry Robin
Secondo quanto riportato da The Record, il malware Raspberry Robin continua a infettare i computer tramite dispositivi USB compromessi; pertanto, non vi sono stati grandi cambiamenti per quanto riguarda il vettore di intrusione iniziale del framework. Tuttavia, Security Joes riferisce che l’ultima variante del malware è più complessa rispetto alle versioni precedenti, il che consente ai suoi gestori di raccogliere una quantità molto maggiore di dati dai propri bersagli.
I ricercatori di Security Joes proseguono affermando che l’unicità di Raspberry Robin risiede nella sua forte offuscamento e nella difficoltà che comporta qualsiasi tentativo di disassemblare staticamente il malware.
«Sembra che gli sviluppatori fossero impegnati ad aggiungere misure di protezione al proprio codice per eludere gli strumenti di sicurezza e gli sguardi indiscreti degli analisti di malware», si legge nel rapporto.
A quanto pare, i suoi sviluppatori hanno inoltre aggiunto un ulteriore livello di crittografia, per cui i dati delle vittime non sono più visualizzabili in chiaro, ma sono invece crittografati con l’algoritmo RC4 . Tuttavia, i ricercatori sopra citati non si sono lasciati scoraggiare e, nei due casi a cui hanno dato seguito questo mese, gli analisti, senza lasciarsi scoraggiare, sono riusciti a «separare il downloader dal suo wrapper principale e a smascherare il malware che rimandava al già citato framework Raspberry Robin».
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il worm Raspberry Robin è parte integrante di un complesso ecosistema di malware e l’elenco delle sue vittime sta diventando sempre più variegato. Il suo framework è stato utilizzato per colpire organizzazioni in tutto il mondo, consentendo intrusioni nelle reti di entità operanti nei settori della tecnologia, dell’industria manifatturiera, delle telecomunicazioni, della pubblica amministrazione e, ora, della finanza e delle assicurazioni."
"Secondo Microsoft , solo nel ottobre 2022 , quasi 3.000 dispositivi appartenenti a circa 1.000 organizzazioni hanno ricevuto almeno un avviso relativo al payload Raspberry Robin. Tenendo conto di tutto ciò — oltre al fatto che sembra essere in costante evoluzione e oggetto di frequenti aggiornamenti — Raspberry Robin è chiaramente diventato una minaccia di livello mondiale. "
«Sebbene Raspberry Robin sembrasse non avere alcuno scopo al momento della sua scoperta, si è evoluto e sta assumendo un impatto potenzialmente devastante sugli ambienti in cui è ancora installato», si legge in un rapporto di Microsoft Security Threat Intelligence pubblicato da ottobre."
"Lo sviluppo di Raspberry Robin proseguirà molto probabilmente fino al 2023, e tale framework contribuirà senza dubbio a facilitare l’ulteriore diffusione di malware e le attività di criminalità informatica."
3. Il malware IcedID colpisce ancora: dominio Active Directory compromesso in meno di 24 ore
Il malware IcedID, talvolta denominato anche BokBot, è in circolazione sin dal all’indirizzo least 2017. È noto storicamente come un trojan bancario utilizzato per sottrarre informazioni finanziarie alle proprie vittime. Più recentemente, IcedID viene utilizzato come dropper per altre famiglie di malware e come strumento per i broker di accesso iniziale.
Una recente analisi delle minacce condotta da Cybereason nell’ambito dell’ approfondisce un attacco malware IcedID, che ha consentito all’autore della minaccia di compromettere il dominio Active Directory del proprio bersaglio in meno di 24 ore dopo aver ottenuto l’accesso iniziale.
Dettagli dell'attacco
Il rapporto di Cybereason analizza in dettaglio i metodi di infezione utilizzati sul computer del “paziente zero”, che è stato impiegato dagli autori dell’attacco come punto di appoggio per il prosieguo dell’attacco.
In linea di massima, la vittima apre un archivio, fa clic su un file “ ISO ” che crea un disco virtuale, fa clic su un file LNK che installa una DLL; la DLL stabilisce connessioni con i domini IcedID e il payload IcedID viene caricato nel processo.
Le infezioni da IcedID osservate in precedenza hanno inizio quando la vittima apre un file zip protetto da password contenente un file ISO . Quando si esegue il doppio clic sul file, i file ISO si monteranno automaticamente come directory di sola lettura, contenente una cartella nascosta e un file LNK. Questa cartella nascosta contiene un file batch offuscato e un payload DLL.
Quando si fa clic sul collegamento o sul file LNK, verrà eseguito il file batch contenuto nella directory nascosta. Il file batch richiamerà un eseguibile per copiare e inserire il file DLL nella directory temporanea, dove verrà eseguito.
Dettagli tecnici
e del movimento laterale: l’autore dell’attacco sembra seguire una procedura standard per quanto riguarda il movimento laterale. In meno di un’ora dall’infezione iniziale, si è prima collegato a un altro computer e poi ha utilizzato ping[.]exe per verificare se l’host fosse online o meno. Il file Wmic[.]exe è stato utilizzato per eseguire una DLL in remoto sulla workstation.
Una volta che l’autore dell’attacco si è insediato sull’host remoto, ha eseguito un beacon di Cobalt Strike, denominato gv[.]dll. Tale processo è stato portato avanti su tutta la rete, utilizzando ping[.]exe per verificare che gli host fossero online, spostandosi lateralmente tramite WMI ed eseguendo i payload di Cobalt Strike per ottenere un punto d’appoggio. Cybereason ha rilevato che l’autore dell’attacco è riuscito a spostarsi lateralmente verso un server Windows interno grazie a credenziali compromesse tramite l’attacco “kerberoasting”. L'account disponeva di privilegi di amministratore di dominio.
di persistenza: l’autore dell’attacco ha adottato una tecnica di tipo “” (RMM) tratta da Conti , che prevede l’installazione dello strumento RMM AteraAgent su più macchine. Atera è uno strumento legittimo utilizzato per l’amministrazione remota ed è stato impiegato dal gruppo Conti per riottenere un accesso persistente agli ambienti infetti ed eludere il rilevamento. L’uso di Atera consente all’autore dell’attacco di crearsi una backdoor aggiuntiva nel caso in cui i suoi meccanismi di persistenza iniziali vengano scoperti e/o neutralizzati. Le righe di comando eseguite durante l’installazione di AteraAgent rivelano un errore commesso dall’autore dell’attacco: l’errore ortografico nel dominio outlook[.]it.
del furto delle credenziali: il primo episodio di furto delle credenziali si è verificato appena 15 minuti dopo l’infezione iniziale tramite kerberoasting. È stata utilizzata la tecnica del "kerberoasting" per estrarre gli hash degli account di servizio presenti nel dominio. Dopo essersi spostato lateralmente su un file server e aver acquisito privilegi più elevati tramite i servizi, l’autore dell’attacco ha quindi eseguito con successo un attacco DCSync — un attacco che consente all’autore della minaccia di impersonare un controller di dominio, richiedendo gli hash delle password ad altri controller di dominio. Ciò ha consentito all'autore dell'attacco di compromettere, in ultima analisi, il dominio.
Intercettazione dei browser: IcedID ha già tentato in passato di intercettare browser quali Firefox o Chrome per cercare di sottrarre credenziali e cookie. Una volta caricato il bot principale, i ricercatori hanno osservato un comportamento di “hooking” all’interno di Chrome.
di rilevamento: l’attacco ha sfruttato diversi comandi di rilevamento, eseguiti nell’ambito del modulo “SysInfo” del bot IcedID. Net[.]exe è stato utilizzato per individuare informazioni relative al sistema operativo e ad Active Directory, mentre ping[.]exe è stato impiegato per verificare se i computer remoti fossero online ai fini del movimento laterale.
L'autore dell'attacco ha inoltre utilizzato nltest[.]exe per estrarre informazioni relative ad Active Directory e PowerShell per individuare risorse condivise non standard all'interno della rete. Infine, è stato eseguito il comando “wuauclt.exe /detectnow” per verificare la presenza di eventuali aggiornamenti e patch mancanti.
Scansione della rete: È stato utilizzato lo strumento legittimo netscan per eseguire la scansione della rete, salvando i risultati della scansione in un file XML locale. Si tratta di un’altra tecnica presa in prestito da Conti.
Esfiltrazione di dati: È stato osservato che l’autore dell’attacco utilizzava copie rinominate del noto software di sincronizzazione dei file rclone per crittografare e sincronizzare le directory con il servizio di condivisione file Mega. Rclone sta diventando sempre più popolare tra gli autori di attacchi informatici, al punto che persino LockBit lo utilizza per l’esfiltrazione dei dati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«La capacità di un malintenzionato di compromettere Active Directory in 24 ore non è del tutto inaudita, ma serve a ricordare con quanta rapidità possano verificarsi gli incidenti e quanto sia importante reagire tempestivamente alle attività di rete anomale. Questo attacco ribadisce inoltre quanto sia comune per gli autori delle minacce e le bande di ransomware riutilizzare o condividere (o, in alcuni casi, semplicemente sottrarre) le TTP gli uni dagli altri, come dimostra il fatto che l’autore della minaccia abbia riadattato le tecniche note di Conti, come evidenziato in precedenza.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
