Nel riepilogo di questa settimana, CTI esamina il recente aumento delle attività ransomware di Medusa e le ultime tattiche del gruppo. Successivamente, CTI spiega come gli infostealer si rivolgono sempre più a macOS. Infine, il CTI si conclude con una panoramica di un avviso congiunto sulla sicurezza informatica del Federal Bureau of Investigation (FBI) e della Cybersecurity and Infrastructure Security Agency (CISA) che è stato rilasciato per diffondere CIO e TTP noti associati agli attori delle minacce che distribuiscono il malware Androxgh0st .
1. Il ransomware Medusa si trasforma in estorsione
I ricercatori di Palo Alto Networks hanno scoperto un aumento delle attività del ransomware Medusa (si apre in una nuova scheda) insieme a un cambiamento di tattiche da parte del gruppo.
Medusa ransomware sta puntando verso l’estorsione con l’aiuto del suo sito blog Medusa (si apre in una nuova scheda), che il gruppo utilizza per divulgare i dati rubati. La strategia multi-estorsione dell’operazione offre alle vittime diverse opzioni tra cui scegliere come un’estensione temporale, l’eliminazione dei dati o il download di tutti i dati rubati, ognuno dei quali viene fornito con un prezzo diverso.
Uno sguardo più da vicino al ransomware Medusa
La piattaforma Medusa RaaS è emersa alla fine del 2022 , ma non ha guadagnato molta trazione fino all'inizio del 2023. Il ransomware prende di mira i dispositivi Windows e tende a sfruttare i servizi vulnerabili e a dirottare account legittimi.
Il ransomware sfrutta le tecniche di vita off-the-land utilizzando software per scopi dannosi per fondersi nel traffico regolare. Medusa ransomware ha rilasciato il suo Blog Medusa nel 2023 , che viene utilizzato dal gruppo per la perdita di dati rubati.
Le vittime del ransomware Medusa hanno diverse opzioni quando visitano il blog di Medusa:
- Le vittime possono pagare una tariffa standard di $ 10.000 per un'estensione di un giorno per evitare che i dati vengano pubblicati sul blog.
- Possono anche richiedere l'eliminazione dei dati e richiedere il download e la visualizzazione dei dati rubati. Queste opzioni sono dotate di una tassa pesante.
Un recente post sul blog è stato un video che mostrava i file di un'organizzazione compromessa. Il video aveva una didascalia di “Medusa Media Team” che i ricercatori ritengono essere una branca dell’operazione che gestisce il marchio pubblico.
Oltre ad essere un sito di fuga di dati e un luogo in cui ospitare video di dati rubati, il blog include anche link a Telegram e X. Il link di Telegram dovrebbe essere "supporto informativo". Al contrario, il link X è solo una pagina dei risultati di ricerca per "Medusa ransomware".
Vittimologia della medusa
Il ransomware Medusa si rivolge a una vasta gamma di settori e non sembra essere altamente mirato quando si tratta di settori. Il settore più colpito, che era la tecnologia, rappresentava meno di 10 dei 74 attacchi del gruppo.
Il gruppo è più mirato quando si tratta della posizione geografica dei loro attacchi. Medusa ha preso di mira organizzazioni in più paesi, ma gli Stati Uniti sono stati l'obiettivo principale.
Binario ransomware
Palo Alto ha anche scoperto un tema comune nel binario di Medusa che era l’uso e l’inclusione del termine “sguardo” nel percorso di debug in PEStudio.
Questo tema li ha portati a fare riferimento al binario ransomware come Gaze. Il ransomware può essere eseguito con 11 possibili argomenti e ha ricevuto aggiornamenti dalla sua prima comparsa nel 2023. Il ransomware utilizza la crittografia asimmetrica RSA e aggiunge .medusa ai file crittografati. Eviterà di crittografare i file con le estensioni .dll, .exe, .lnk e .medusa. Dopo aver lasciato cadere la nota di riscatto, si eliminerà dal sistema per ostacolare il recupero e l'analisi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il ransomware Medusa è un’operazione alquanto opportunistica, rivolta alle organizzazioni di una vasta gamma di settori. Questo è tipico di molte operazioni ransomware.
Ciò che è evidente è che le operazioni di ransomware stanno iniziando a funzionare sempre più come vere organizzazioni, come evidenziato dalle aggiunte del Blog e Media Team di Medusa. Al di fuori della configurazione aziendale, Medusa ha alcune sofisticate strategie e tecniche di sfruttamento. Pertanto, sta rapidamente diventando una minaccia più significativa nel panorama dei ransomware.
2. Infostealer eludono macOS anti-malware
SentinelOne ha recentemente scoperto tre infostealer macOS attivi (si apre in una nuova scheda) che sono in grado di eludere il sistema anti-malware integrato di macOS, XProtect.
KeySteal
- Il malware KeySteal è stato segnalato per la prima volta nel 2021 e da allora si è evoluto. Nel febbraio 2023, Apple ha aggiunto una firma a XProtect che Detect KeySteal. Tuttavia, a causa dell’evoluzione del malware, questa firma non rileva più le versioni correnti.
- KeySteal è stato originariamente distribuito come .pkg all'interno di un'utilità macOS integrata chiamata ReSignTool. Gli attori delle minacce hanno modificato il codice dell’applicazione open source legittima per rubare le informazioni del portachiavi e rilasciare i componenti di persistenza.
- Le varianti più recenti di KeySteal sono cambiate ancora di più. Non usano più ReSignTool e appaiono piuttosto nei binari Mach-O come UnixProject o ChatGPT.
- Ciò che non è chiaro è come queste nuove varianti vengono distribuite. Le ultime varianti non solo non vengono rilevate da XProtect, ma hanno anche bassi tassi di rilevamento su VirusTotal. SentinelOne osserva che c'è una cosa in comune tra le prime versioni e le ultime versioni e che è un hardcoded C2. Questo hardcoded C2 dà ancora alcune rilevazioni statiche una possibilità, anche se forse non per molto tempo.
Stealer atomico
- Atomic Stealer è stato segnalato più volte ed è ancora attivo. Questo malware macOS ha subito diverse modifiche, lasciando molte versioni diverse del malware visto in natura contemporaneamente.
- SentinelOne ha riferito di aver visto varianti del malware che non sono attualmente rilevate da XProtect, molte delle quali hanno anche bassi tassi di rilevamento su VirusTotal.
- Il malware impedisce alle vittime, agli analisti o alle sandbox di malware di eseguire il terminale contemporaneamente al furtivo. Le varianti recenti utilizzano AppleScript hardcoded in testo chiaro che indica la logica di furto del malware.
- Gli attori delle minacce in genere distribuiscono questo malware tramite torrent o piattaforme di social gaming.
CherryPie
- Il malware CherryPie è stato aggiunto a XProtect nel v2176.
- Questo malware, noto anche come GaryStealer e JaskaGo, è un stealer macOS / Windows che attualmente ha bassi tassi di rilevamento su VirusTotal.
- Alcune versioni del malware utilizzano il legittimo progetto open source Wails per avvolgere il codice dannoso in un pacchetto di App .
- Molti dei campioni che SentinelOne ha osservato sono firmati con una firma ad hoc e hanno un codice utilizzato per disabilitare Gatekeeper.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Affidarsi esclusivamente al rilevamento statico non è sufficiente per stare al passo con il panorama delle minacce in continua evoluzione. Il rilevamento statico di malware sta diventando un gioco di whack-a-mole e non è sempre efficace.
SentinelOne osserva che, a parte le funzionalità native di macOS, “la caccia alle minacce proattiva, le regole di rilevamento avanzate e la consapevolezza delle tattiche in evoluzione possono aiutare i team di sicurezza a stare al passo con le minacce che colpiscono la piattaforma macOS”.
3. L’FBI e il CISA pubblicano una consulenza congiunta per Androxgh0st malware
Il Federal Bureau of Investigation (FBI) e la Cybersecurity and Infrastructure Security Agency (CISA) hanno pubblicato un avviso congiunto sulla sicurezza informatica per diffondere CIO e TTP noti associati agli attori delle minacce che distribuiscono il malware Androxgh0st .
Diverse indagini in corso hanno fornito dettagli su Androxgh0st malware, inclusa la capacità del malware di creare una botnet in grado di identificare e compromettere ulteriormente le reti vulnerabili.
Che cos'è Androxgh0st?
Androxgh0st è un malware Python progettato per trovare ed estrarre file .env contenenti credenziali per applicazioni come AWS, Microsoft Office 365 e altri. Supporta molte funzioni che consentono di abusare di SMTP come la scansione e lo sfruttamento di credenziali e API esposte e la distribuzione di shell Web. Fortinet sta osservando Androxgh0st tentativi di malware su più di 40.000 dispositivi Fortinet al giorno.
Puntare il PHPUnit
Il malware tende a utilizzare script, eseguire scansioni e cercare siti Web con vulnerabilità specifiche. Più specificamente, gli attori della minaccia che distribuiscono questo malware sembrano sfruttare CVE-2017-9841 per eseguire PHP in remoto su siti Web fallibili tramite PHPUnit.
I siti web che utilizzano questo modulo e hanno cartelle di venditori o esposte a Internet possono essere a rischio da richieste HTTP POST dannose indirizzate a un URL specifico URL. Questa pagina eseguirà il codice PHP che viene inviato tramite una richiesta POST, consentendo quindi all'autore della minaccia di eseguire il codice da remoto.
L'autore della minaccia utilizza Androxgh0st per scaricare ulteriori file dannosi sul sistema che ospita il sito Web. Con questo accesso, possono impostare pagine false accessibili tramite l'URI per stabilire una backdoor sul sito web.
Targeting del framework Laravel
Il malware crea una botnet per la scansione di siti Web tramite il framework dell' App Web Laravel. Utilizza Laravel per identificare i siti Web e quindi determina se il file .env di livello radice del dominio è esposto o meno e se contiene credenziali.
Se il file viene esposto, l'autore della minaccia può utilizzare una richiesta GET all' URL e tentare di accedere ai dati. Il malware può anche accedere alla chiave dell'applicazione per l'applicazione Laravel sul sito web. Se possono identificare la chiave dell'applicazione, possono tentare di sfruttarla utilizzando la chiave per crittografare il codice PHP, passando il codice come valore nel token XSRF.
Apache targeting server web
Gli attori delle minacce che utilizzano Androxgh0st sono anche osservati scansione di server Web Apache che possono essere vulnerabili a CVE-2021-41773. Gli attori possono identificare gli URL per i file al di fuori della directory principale tramite un attacco trasversale del percorso. Questi file, se non protetti, potrebbero consentire l'esecuzione remota del codice. Se l'aggressore ottiene con successo le credenziali per qualsiasi servizio tramite questi metodi, può utilizzare le credenziali per accedere a dati sensibili o eseguire azioni dannose successive.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La recente impennata di Androxgh0st attività è certamente allarmante, soprattutto considerando il suo targeting di cose come AWS e Office.
Il malware è stato segnalato per la prima volta nel 2022 e apparentemente non ha ricevuto molta attenzione fino a poco tempo fa. È possibile che non sia stato sfruttato molto o che stesse semplicemente passando inosservato.
In entrambi i casi, la consulenza congiunta descrive in dettaglio alcune raccomandazioni di mitigazione che possono aiutare a proteggere contro Androxgh0st. Vale la pena dare un'occhiata al rapporto.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium per iniziare una conversazione.
Per ulteriori letture, rimani aggiornato sulle nostre recenti raccolte di informazioni sulle minacce informatiche.
