Nella rassegna di questa settimana, CTI esamina il recente aumento delle attività del ransomware Medusa e le ultime tattiche adottate dal gruppo. Successivamente, CTI spiega come gli infostealer stiano prendendo sempre più di mira il sistema operativo macOS. Infine, CTI conclude con una panoramica su un avviso congiunto in materia di sicurezza informatica emanato dall’FBI (Federal Bureau of Investigation) e dalla CISA (Cybersecurity and Infrastructure Security Agency), pubblicato allo scopo di diffondere gli IOC e le TTP noti associati agli autori delle minacce che utilizzano il malware Androxgh0st .
1. Il ransomware Medusa si orienta verso l'estorsione
I ricercatori dell’ Palo Alto Networks hanno rilevato un aumento delle attività del ransomware “ ” (Medusa) (si apre in una nuova scheda) , insieme a un cambiamento nelle tattiche adottate dal gruppo.
Il ransomware Medusa sta orientandosi verso l’estorsione avvalendosi del proprio blog Medusa, all’indirizzo (si apre in una nuova scheda), che il gruppo utilizza per divulgare i dati sottratti. La strategia di estorsione multipla adottata dagli autori dell’operazione offre alle vittime diverse opzioni tra cui scegliere, quali una proroga dei termini, la cancellazione dei dati o il download di tutti i dati sottratti, ciascuna delle quali comporta un costo diverso.
Uno sguardo più approfondito al ransomware Medusa
La piattaforma Medusa RaaS è stata lanciata alla fine del 2022 , ma non ha riscosso grande successo fino all’inizio del 2023. Il ransomware prende di mira i dispositivi Windows e tende a sfruttare i servizi vulnerabili e a dirottare account legittimi.
Il ransomware sfrutta le tecniche “living-off-the-land”, utilizzando software a fini malevoli per mimetizzarsi nel traffico normale. Il ransomware Medusa ha lanciato il proprio blog, denominato “Medusa Blog”, nel 2023 , che viene utilizzato dal gruppo per divulgare i dati sottratti.
Le vittime del ransomware Medusa hanno diverse opzioni a disposizione quando visitano il blog di Medusa:
- Le vittime possono versare una tariffa standard di 10.000 dollari per ottenere una proroga di un giorno, al fine di impedire la pubblicazione dei dati sul blog.
- Possono inoltre richiedere la cancellazione dei dati e chiedere di scaricare e visualizzare i dati rubati. Queste opzioni comportano una commissione piuttosto elevata.
Un recente post pubblicato sul blog era un video che mostrava i file di un’organizzazione vittima di un attacco informatico. Il video recava la didascalia “Medusa Media Team”, che secondo i ricercatori costituirebbe un ramo dell’operazione incaricato della gestione dell’immagine pubblica.
Oltre a fungere da piattaforma per la divulgazione di dati riservati e da spazio per l’hosting di video contenenti dati rubati, il blog include anche collegamenti a Telegram e X. Il collegamento a Telegram dovrebbe servire come “supporto informativo”. Al contrario, il link X è semplicemente una pagina di risultati di ricerca per “Medusa ransomware”.
Vittimologia di Medusa
Il ransomware Medusa prende di mira una vasta gamma di settori e non sembra avere un orientamento particolarmente mirato in tal senso. Il settore maggiormente preso di mira, ovvero quello tecnologico, ha rappresentato meno di 10 dei 74 attacchi sferrati dal gruppo.
Il gruppo agisce in modo più mirato per quanto riguarda l'ubicazione geografica dei propri attacchi. Medusa ha preso di mira organizzazioni in diversi paesi, ma gli Stati Uniti sono stati l’obiettivo principale.
File binario del ransomware
Palo Alto ha inoltre individuato un elemento ricorrente nel file binario di Medusa, ovvero l’uso e l’inserimento del termine “gaze” nel percorso di debug in PEStudio.
Questo tema li ha portati a denominare il file binario del ransomware “Gaze”. Il ransomware può essere eseguito con 11 possibili argomenti e ha ricevuto aggiornamenti sin dalla sua prima comparsa nel 2023. Il ransomware utilizza la crittografia asimmetrica RSA e aggiunge l'estensione .medusa ai file crittografati. In questo modo si eviterà la crittografia dei file con le estensioni .dll, .exe, .lnk e .medusa. Dopo aver lasciato la richiesta di riscatto, il programma si eliminerà automaticamente dal sistema per ostacolare il recupero e l’analisi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'operazione del ransomware Medusa è in qualche modo opportunistica e prende di mira organizzazioni operanti in un'ampia gamma di settori. Questo è un aspetto tipico di molte operazioni di ransomware.
Ciò che risulta evidente è che le operazioni di ransomware stanno iniziando a funzionare sempre più come vere e proprie organizzazioni, come dimostra l’aggiunta del blog Medusa e del team dedicato ai media. Al di là della struttura di tipo aziendale, Medusa dispone di alcune strategie e tecniche di sfruttamento sofisticate. Di conseguenza, sta rapidamente diventando una minaccia sempre più significativa nel panorama del ransomware.
2. I programmi di furto di informazioni eludono i sistemi anti-malware di macOS
SentinelOne ha recentemente individuato tre infostealer attivi per macOS di tipo “ ” (si apre in una nuova scheda) in grado di eludere il sistema antimalware integrato in macOS, XProtect.
KeySteal
- Il malware KeySteal è stato segnalato per la prima volta nel 2021 e da allora ha continuato a evolversi. In “ febbraio 2023”, Apple ha aggiunto una firma a XProtect in grado di Detect KeySteal. Tuttavia, a causa dell’evoluzione del malware, questa firma non rileva più le versioni attuali.
- KeySteal è stato originariamente distribuito come file .pkg all’interno di un’utilità integrata in macOS denominata ReSignTool. Gli autori dell'attacco hanno modificato il codice dell'applicazione open source legittima per sottrarre informazioni dal portachiavi e inserire componenti di persistenza.
- Le varianti più recenti di KeySteal hanno subito ulteriori modifiche. Non utilizzano più ReSignTool e nei file binari Mach-O compaiono invece come UnixProject o ChatGPT.
- Ciò che non è chiaro è come si stiano diffondendo queste nuove varianti. Le varianti più recenti non solo non vengono rilevate da XProtect, ma presentano anche bassi tassi di rilevamento su VirusTotal. SentinelOne sottolinea che esiste un elemento in comune tra le prime versioni e quelle più recenti, ovvero il valore C2 hardcoded. Questo valore C2 , impostato in modo fisso, consente ancora il rilevamento di alcuni disturbi statici, anche se forse non per molto.
Atomic Stealer
- Atomic Stealer è stato segnalato più volte ed è tuttora attivo. Questo malware per macOS ha subito diverse modifiche, con il risultato che attualmente circolano contemporaneamente numerose versioni diverse del malware.
- SentinelOne ha segnalato di aver individuato varianti del malware che al momento non vengono rilevate da XProtect, molte delle quali presentano tassi di rilevamento bassi anche su VirusTotal.
- Il malware impedisce alle vittime, agli analisti o alle sandbox dedicate al malware di eseguire il terminale contemporaneamente allo stealer. Le varianti più recenti utilizzano codice AppleScript hardcoded in testo in chiaro che rivela la logica di furto del malware.
- Gli autori delle minacce distribuiscono solitamente questo malware tramite torrent o piattaforme di social gaming.
CherryPie
- Il malware CherryPie è stato aggiunto a XProtect nella versione v2176.
- Questo malware, noto anche come GaryStealer e JaskaGo, è un programma che sottrae le credenziali di accesso a macOS/Windows , che attualmente presenta bassi tassi di rilevamento su VirusTotal.
- Alcune versioni del malware utilizzano il progetto open source legittimo Wails per racchiudere il codice dannoso in un pacchetto di tipo “ App ”.
- Molti dei campioni rilevati da SentinelOne sono firmati con una firma ad hoc e contengono codice utilizzato per disattivare Gatekeeper.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Affidarsi esclusivamente al rilevamento statico non è semplicemente sufficiente per stare al passo con il panorama delle minacce in continua evoluzione. Il rilevamento statico del malware sta diventando una sorta di gioco del “colpisci la talpa” e non è sempre efficace.
SentinelOne sottolinea che, oltre alle funzionalità native di macOS, «la ricerca proattiva delle minacce, le regole di rilevamento potenziate e la consapevolezza delle tattiche in continua evoluzione possono aiutare i team di sicurezza a stare un passo avanti rispetto alle minacce che prendono di mira la piattaforma macOS».
3. L'FBI e la CISA pubblicano un avviso congiunto relativo a Androxgh0st malware
L’FBI (Federal Bureau of Investigation) e la CISA (Cybersecurity and Infrastructure Security Agency) hanno pubblicato un avviso congiunto sulla sicurezza informatica al fine di diffondere gli IOC e le TTP noti associati agli autori delle minacce che utilizzano il malware Androxgh0st .
Diverse indagini attualmente in corso hanno fornito dettagli su Androxgh0st malware, compresa la capacità di tali malware di creare una botnet in grado di individuare e compromettere ulteriormente le reti vulnerabili.
Che cos’è il Androxgh0st?
Androxgh0st è un malware scritto in Python progettato per individuare ed estrarre file .env contenenti credenziali per applicazioni quali AWS, Microsoft Office 365 e altre. Supporta numerose funzioni che gli consentono di compiere attacchi di tipo “ SMTP ”, quali la scansione e lo sfruttamento di credenziali e API esposte, nonché l’implementazione di web shell. Fortinet rileva ogni giorno Androxgh0st tentativi di attacco da parte di malware su oltre 40.000 dispositivi Fortinet.
Utilizzo di PHPUnit
Il malware tende a utilizzare script, eseguire scansioni e cercare siti web con vulnerabilità specifiche. Più precisamente, gli autori delle minacce che diffondono questo malware sembrano sfruttare la vulnerabilità CVE-2017-9841 per eseguire in remoto codice PHP su siti web non protetti tramite PHPUnit.
I siti web che utilizzano questo modulo e dispongono di cartelle esposte a Internet o di cartelle dei fornitori potrebbero essere a rischio a causa di richieste HTTP POST dannose indirizzate a una specifica URL. Questa pagina eseguirà il codice PHP inviato tramite una richiesta POST, consentendo così all’autore dell’attacco di eseguire codice da remoto.
L'autore dell'attacco utilizza il codice Androxgh0st per scaricare ulteriori file dannosi sul sistema che ospita il sito web. Grazie a tale accesso, possono creare pagine fasulle accessibili tramite l’URI per aprire una backdoor al sito web.
Destinatari del framework Laravel
Il malware crea una botnet per effettuare la scansione di siti web tramite il framework di web App e Laravel. Utilizza Laravel per identificare i siti web e quindi verifica se il file .env a livello di root del dominio sia esposto o meno e se contenga credenziali.
Se il file è accessibile, l'autore della minaccia può utilizzare una richiesta GET all'indirizzo URL e tentare di accedere ai dati. Il malware è inoltre in grado di accedere alla chiave dell'applicazione Laravel presente sul sito web. Se riescono a identificare la chiave dell’applicazione, possono tentare uno sfruttamento utilizzando tale chiave per crittografare il codice PHP, trasmettendo il codice come valore nel token XSRF.
Apache indirizzamento del server web
Si è inoltre osservato che gli autori delle minacce che utilizzano la vulnerabilità Androxgh0st effettuano scansioni dei server web Apache che potrebbero essere vulnerabili alla vulnerabilità CVE-2021-41773. Gli autori dell'attacco possono individuare gli URL relativi a file situati al di fuori della directory principale tramite un attacco di attraversamento del percorso. Tali file, se non protetti, potrebbero consentire l’esecuzione di codice da remoto. Qualora l’autore dell’attacco riesca a ottenere le credenziali di qualsiasi servizio tramite tali metodi, potrà utilizzarle per accedere a dati sensibili o compiere ulteriori azioni dannose.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il recente aumento dell’attività di Androxgh0st è certamente allarmante, soprattutto se si considera che prende di mira prodotti quali AWS e Office.
Il malware è stato segnalato per la prima volta nel 2022 e, a quanto pare, non ha suscitato grande interesse fino a poco tempo fa. È possibile che non venisse sfruttato appieno oppure che semplicemente passasse inosservato.
In ogni caso, il documento consultivo congiunto illustra alcune raccomandazioni di mitigazione che possono contribuire a proteggere dal Androxgh0st. Vale la pena dare un'occhiata al rapporto.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il forum di discussione di " Tanium" per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
