Per iniziare la rassegna di questa settimana, CTI esamina una nuova campagna di malware di tipo “ Linux ” che prende di mira server configurati in modo errato su cui sono in esecuzione Apache Hadoop YARN, Docker, Confluence e Redis. Successivamente, CTI illustra in che modo gli autori degli attacchi ransomware stiano sfruttando una gamma sempre più ampia di strumenti di esfiltrazione dei dati nei propri attacchi. Infine, CTI analizza in dettaglio i principali risultati emersi dalla ricerca sulle minacce legate al cloud condotta da 2023.
1. Linux Una campagna di malware prende di mira i server configurati in modo errato
È stata individuata una nuova campagna di malware denominata “ ” ( Linux ) , che prende di mira server configurati in modo errato su cui sono in esecuzione Apache Hadoop YARN, Docker, Confluence e Redis. La campagna utilizza payload finora non segnalati, sfruttando al contempo errori di configurazione comuni e una vulnerabilità di tipo “ CVE ” (inclusione di file) presente in Confluence per sferrare attacchi di esecuzione remota di codice (RCE).
Cado ha scoperto questa campagna dopo aver individuato un gruppo di attività di accesso iniziale su un honeypot dell'API di Docker Engine. Tale attività prevedeva l’esecuzione di un comando Docker che generava un nuovo container basato su Alpine Linux e creava un mount bind per la directory root dell’honeypot all’interno del container.
Nel corso di questa campagna, l’autore dell’attacco ha creato un file eseguibile nella directory “/usr/bin/vurl” e ha registrato un’attività Cron per decodificare ed eseguire alcuni comandi shell codificati. A titolo di ridondanza, l’autore dell’attacco ha creato un ulteriore processo “ Cron ” per ottenere un altro payload qualora il primo metodo non avesse funzionato. I ricercatori non sono riusciti a ottenere questo carico utile aggiuntivo.
Il carico utile principale
Il payload principale di questa campagna è un semplice script shell. Si inizia definendo il dominio C2 in cui sono contenuti i payload aggiuntivi. Verifica quindi l’esistenza dell’utilità chattr e, qualora la trovi, la rinomina in zzhcht. Se tale utilità non viene individuata, ne verrà installata una. Infine, questo script shell verificherà se l'utente corrente dispone dei privilegi di root e sceglierà il payload successivo in base a tale risultato.
Script aggiuntivi
- Ar.sh: Questo script di shell prepara il sistema a ulteriori attacchi, eseguendo operazioni anti-forensi e scaricando ulteriori payload. Questo script disattiverà “firewalld” e
“iptables”, cancellerà la cronologia della shell, disattiverà SELinux e aggiungerà i server pubblici DNS al file /etc/resolv.conf per garantire che le richieste in uscita DNS vadano a buon fine. Lo script utilizzerà inoltre il comando “shopt” per impedire che i comandi della shell vengano inseriti nel file di cronologia e per rendere più difficile l’analisi. Successivamente, lo script installerà dei rootkit per nascondere i propri processi e disinstallerà gli agenti di monitoraggio di Alibaba Cloud e Tencent.
Ulteriori informazioni su questo script sono disponibili all’indirizzo nel rapporto di Cado Security intitolato “”.
- Fkohts: Questo è il primo di una serie di file ELF in Go denominati “ ” distribuiti dal malware. Questa operazione cercherà ed eliminerà le immagini Docker e aggiornerà il file “/etc/hosts”.
- S.sh: Si tratta della fase successiva della catena di infezione e di un altro script shell. S.sh scaricherà ulteriori payload e li memorizzerà in modo permanente sull'host.
- Le utilità di accesso iniziale e di diffusione: h.sh, d.sh, c.sh e w.sh, vengono tutte recuperate nella fase precedente. Questi file eseguibili identificheranno e sfrutteranno le macchine su cui sono in esecuzione, rispettivamente, Apache , Hadoop, Docker, Redis e Confluence.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come sottolinea Cado Security, è evidente che «gli autori degli attacchi dedicano molto tempo a comprendere i tipi di servizi web implementati negli ambienti cloud, a tenersi aggiornati sulle vulnerabilità segnalate in tali servizi e a utilizzare tali conoscenze per ottenere un punto d’appoggio negli ambienti di destinazione».
Ciò mette davvero in evidenza quanto tempo gli autori delle minacce siano disposti a dedicare per garantire che le loro campagne abbiano il maggior successo possibile. Ribadisce inoltre che, se gli autori delle minacce prestano grande attenzione alle vulnerabilità segnalate e si mantengono aggiornati sulle tecnologie, anche noi dovremmo fare altrettanto.
2. Gli autori degli attacchi ransomware diversificano i propri strumenti di esfiltrazione dei dati
Gli autori di attacchi ransomware stanno sfruttando nei propri attacchi un numero sempre crescente di strumenti di esfiltrazione dei dati di tipo “ ”: (si apre in una nuova scheda) . Solo negli ultimi tre mesi, Symantec ha rilevato l’utilizzo di almeno una dozzina di strumenti diversi finalizzati all’esfiltrazione dei dati. Tra questi strumenti figurano alcuni malware, ma si tratta prevalentemente di software legittimo a duplice uso, impiegato per attività dannose.
Uno sguardo più approfondito agli strumenti di esfiltrazione dei dati
Tra i dodici strumenti rilevati da Symantec, Rclone rimane quello più frequentemente utilizzato per l'esfiltrazione dei dati. La categoria che registra la crescita più rapida in assoluto è, com’era prevedibile, quella degli strumenti di gestione remota.
- Rclone: Si tratta di uno strumento open source utilizzato per la gestione dei contenuti nel cloud. Viene sfruttato in modo improprio da soggetti malintenzionati per sottrarre dati.
- AnyDesk, ScreenConnect, Atera e TightNVC: si tratta di strumenti legittimi per il controllo remoto del desktop e il monitoraggio remoto che possono essere utilizzati per ottenere l’accesso al computer di una vittima.
- RDP: Questo protocollo consente a un computer di controllare un altro dispositivo. Gli autori delle minacce cercano spesso di abilitare questa funzione per poter sfruttare strumenti che utilizzano il protocollo RDP.
- Cobalt Strike: si tratta di uno strumento pronto all’uso molto diffuso che può essere impiegato per «eseguire comandi, iniettare altri processi, elevare i privilegi dei processi correnti o impersonare altri processi, nonché caricare e scaricare file».
- WinRAR: Questo programma di gestione degli archivi viene utilizzato per comprimere i file e può essere impiegato da un autore di minacce per preparare i file in vista dell’esfiltrazione.
- Restic: Si tratta di uno strumento di backup open source da riga di comando. È progettato per funzionare con diverse piattaforme e supporta backend di archiviazione quali directory locali, Amazon S3 e Azure.
- WinSCP: Si tratta di un client SFTP e di un client FTP legittimi per Windows.
- Pandora RC: Precedentemente noto come eHorus, Pandora RC è uno strumento di accesso remoto legittimo. Dispone di agenti per Windows, Linux e Mac ed è sfruttato dagli autori delle minacce per distribuire ulteriori strumenti.
- Chisel: uno strumento open source di tipo “ proxy ”, Chisel crea connessioni crittografate tramite tunnel. Viene sfruttato in modo improprio durante gli attacchi ransomware per creare questi tunnel verso l’infrastruttura di un autore della minaccia, al fine di sottrarre dati.
Caso di studio: Rclone
Symantec ha analizzato in dettaglio un attacco ransomware RagnarLocker che ha sfruttato Rclone, strumento spesso utilizzato dagli autori delle minacce per sottrarre dati dall’ambiente della vittima. Di norma viene installato dall'autore dell'attacco dopo aver ottenuto l'accesso iniziale. Poiché viene utilizzato così frequentemente, gli autori delle minacce hanno iniziato a modificare il nome di Rclone per farlo apparire come qualcos’altro, ad esempio svchost.exe.
Un esempio di ciò si è verificato in occasione di un attacco RagnarLocker avvenuto lo scorso anno. Tale attacco ha dato avvio a un'indagine dopo che sono stati eseguiti comandi " PowerShell " per disabilitare le protezioni LSA. L'attore ha quindi eseguito netscan.exe, un altro strumento disponibile al pubblico, per individuare i nomi degli host e altri servizi di rete.
Dopo aver implementato Mimikatz e LaZagne per l’estrazione delle credenziali, l’autore dell’attacco ha utilizzato diversi strumenti “living off-the-land” (LotL) per raccogliere informazioni ed eseguire comandi, abilitando inoltre il protocollo RDP per l’accesso remoto. Gli attori hanno quindi optato per Rclone per copiare i dati dalle condivisioni di rete. Sono state stabilite connessioni Rclone a vari URL put[.]io ai fini dell’esfiltrazione di dati. L'attacco si è concluso con l'installazione del ransomware RagarLocker e la crittografia dei file.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori delle minacce ricorrono sempre più spesso a strumenti legittimi nei propri attacchi per eludere il rilevamento. Man mano che il settore ha colto questa tendenza, gli autori delle minacce hanno cambiato nuovamente strategia, iniziando a utilizzare strumenti meno noti (o meno segnalati) oppure modificando il nome degli strumenti già in uso.
Può risultare complesso monitorare l’utilizzo di strumenti legittimi e individuare i casi in cui questi vengono impiegati a fini dolosi. Symantec ha fornito alcune misure di mitigazione relative a (si apre in una nuova scheda) che potrebbero risultare utili.
3. Cado reveals its top cloud threat findings report for 2H23
Cado Security ha pubblicato il proprio rapporto “ : Cloud Threat Findings ” relativo al secondo semestre del 2023. Il rapporto mira ad aiutare i team di sicurezza a proteggersi dagli autori di minacce che prendono di mira il cloud e analizza in dettaglio diverse campagne di malware basate sul cloud.
Cado Security integra inoltre i dati raccolti dalla propria infrastruttura honeypot con i risultati delle proprie analisi tecniche per delineare il panorama delle attuali minacce incentrate sul cloud.
Gli autori degli attacchi hanno una conoscenza approfondita dei servizi cloud
In base ai dati di Cado Security, gli autori degli attacchi dispongono ormai di una conoscenza approfondita dei servizi cloud quali Docker, Redis e Jupyter. Cado Security ha rilevato l'utilizzo di competenze specifiche relative a Docker contro il proprio honeypot e ha identificato alcuni autori di minacce che tentavano di sfuggire dai container creati montando il filesystem dell'host. Analogamente, hanno osservato che alcuni autori di minacce sfruttavano e utilizzavano in modo improprio Redis.
Docker continua a rappresentare un obiettivo redditizio
Docker è rimasto il servizio più preso di mira per l’accesso iniziale nel 2023, rappresentando circa il 90% del traffico registrato dagli honeypot di Cado Security (escludendo SSH).
Il K8s si è classificato al secondo posto, totalizzando solo il 7,61%. Nel corso dell’anno, Cado Security ha rilevato diverse campagne di lunga durata incentrate su Docker, tra cui due che hanno sfruttato endpoint API di Docker esposti per eseguire codice dannoso.
Ulteriori risultati emersi dal rapporto di Cado
Cado Security ha rilevato che gli autori delle minacce continuano a sfruttare i servizi esposti al web in ambienti cloud quali Docker, Redis, Kubernetes e Jupyter.
Inoltre, la maggior parte delle campagne di tipo “cloud” e “ Linux ” comportava il dirottamento di risorse allo scopo di estrarre criptovalute. Il cryptojacking, tuttavia, non è più l’unico obiettivo degli autori delle minacce nel cloud. Inoltre, alcune campagne stanno ora sfruttando abusivamente vari servizi cloud basati sul protocollo SMTP (SMTP) per sferrare attacchi di spam su larga scala.
Infine, Cado ha osservato una tendenza già segnalata da molti altri, ovvero l’aumento del malware scritto in Rust e Golang, che consente agli sviluppatori di compilare il proprio codice per più di un sistema operativo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I report di Cado hanno acquisito un’importanza sempre maggiore, dato che sempre più aziende stanno adottando le tecnologie cloud.
Una delle conclusioni principali emerse dal presente rapporto è che gli autori degli attacchi stanno «prendendo sempre più di mira servizi quali Docker, Redis, Kubernetes e Jupyter, il cui sfruttamento richiede conoscenze tecniche specialistiche, ben diverse da quelle necessarie per attaccare i server generici di tipo “ Linux ”».
Già questa scoperta da sola dimostra quanto stiano diventando sofisticati gli autori delle minacce. Ciò indica inoltre che gli autori delle minacce stanno probabilmente dedicando molto tempo a comprendere e sviluppare le competenze necessarie per sfruttare determinati servizi cloud. Detto questo, è evidente che gli autori delle minacce stiano ottenendo un ritorno sull’investimento nel prendere di mira i servizi cloud.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
