Per iniziare la rassegna di questa settimana, CTI analizza un nuovo avviso relativo alla variante del ransomware LockBit 3,0 , che sta riscuotendo grande successo. Successivamente, CTI approfondisce l’ultima di una serie di iniziative meritevoli intraprese di recente dalla CISA: un nuovo strumento open source per la risposta agli incidenti che aiuta l’ Detect are i segnali di attività dannose negli ambienti cloud dell’ Microsoft . Viene inoltre fornita un’analisi delle nuove attività attribuite al gruppo APT37 (ScarCruft), un presunto gruppo di spionaggio informatico nordcoreano.
1. È stato pubblicato un nuovo avviso congiunto relativo al ransomware LockBit 3,0
Un avviso congiunto sulla sicurezza informatica 16 marzo (si apre in una nuova scheda) redatto dall’FBI (Federal Bureau of Investigation), dalla CISA (Cybersecurity and Infrastructure Security Agency) e dal MS-ISAC (Multi-State Information Sharing & Analysis Center) è stato pubblicato per diffondere gli ultimi indicatori di compromissione (IOC) e le tecniche, tattiche e procedure (TTP) associate al famigerato – e sempre più efficace – ransomware LockBit 3,0 .
Le informazioni tecniche contenute nell’avviso sono state individuate nel corso delle indagini dell’FBI svoltesi di recente, nel periodo compreso tra il marzo 2023.
Cominciamo dall’inizio: che cos’è LockBit 3,0?
LockBit 3,0 opera secondo il modello “ransomware-as-a-service” (RaaS). Tali operazioni rappresentano una continuazione dell’attività osservata in relazione alle versioni precedenti del ransomware, tra cui LockBit 2,0 e LockBit.
Come descrive la CISA:
A partire dal gennaio 2020, LockBit ha operato come variante di ransomware basata su un sistema di affiliazione; gli affiliati che utilizzano il servizio LockBit RaaS ricorrono a numerose e diverse tattiche, tecniche e procedure (TTP) e prendono di mira un’ampia gamma di aziende e organizzazioni che gestiscono infrastrutture critiche, il che può rendere difficile garantire una difesa efficace delle reti informatiche e attuare misure di mitigazione.
Cosa occorre sapere su LockBit 3,0
- LockBit 3,0 rappresenta la variante più modulare del ransomware finora conosciuta. Conosciuta anche come LockBit Black, l’ultima versione è più elusiva rispetto alle precedenti e presenta analogie con altre famiglie di ransomware di alto livello, quali Blackmatter e Blackcat.
- Altamente adattabile e personalizzabile a seconda dell’ambiente della vittima in cui si trova, LockBit 3,0 viene configurato al momento della compilazione con un’ampia gamma di opzioni che influenzano il comportamento del malware.
- LockBit 3,0 contiene un meccanismo integrato progettato per proteggere il proprio codice e impedire il rilevamento e l'analisi del malware.
- Gli autori delle minacce sono in grado di ottenere un accesso iniziale alle reti delle vittime sfruttando il protocollo RDP (Remote Desktop Protocol). Altre tattiche includono l’uso improprio di account validi, lo sfruttamento di applicazioni accessibili al pubblico, le compromissioni di tipo “drive-by” e le campagne di phishing di tipo “ ”.
- LockBit 3,0 verifica il proprio livello di privilegi attuale. Se il ransomware rileva l’assenza di tale attributo, tenterà di elevare i privilegi in modo più consono alle proprie esigenze.
- È stato ripetutamente osservato che LockBit 3,0 ricorre a un’ampia varietà di strumenti open source durante le intrusioni. Questi strumenti sono stati progettati per facilitare una serie di attività, tra cui la ricognizione di rete, l’accesso remoto e la creazione di tunnel, l’estrazione delle credenziali e l’esfiltrazione di file.
Inoltre, LockBit 3,0 ha dimostrato di saper utilizzare con competenza il linguaggio di marcatura e formattazione ( PowerShell ) e gli script Batch nella maggior parte delle intrusioni osservate. Queste utility servono a facilitare l'individuazione dei sistemi, la ricognizione, la ricerca di password e credenziali e l'escalation dei privilegi.
La CISA sottolinea inoltre le capacità di crittografia di LockBit 3,0’s :
LockBit 3,0 tenta di crittografare [T1486 (si apre in una nuova scheda)] i dati salvati su qualsiasi dispositivo locale o remoto, ma tralascia i file associati alle funzioni fondamentali del sistema... Una volta crittografati i file, LockBit 3,0 inserisce una richiesta di riscatto con il nuovo nome file .README.txt e modifica lo sfondo e le icone del computer con il marchio LockBit 3,0 [T1491,001 (si apre in una nuova scheda)]. Se necessario, LockBit 3,0 invierà le informazioni crittografate relative all’host e al bot a un server di comando e controllo (C2) [T1027 (si apre in una nuova scheda)].
Inoltre, la CISA sottolinea la funzionalità di esfiltrazione di LockBit 3,0’s :
Gli affiliati di LockBit 3,0 utilizzano Stealbit, uno strumento di esfiltrazione personalizzato già impiegato in precedenza con LockBit 2,0 [TA0010 (si apre in una nuova scheda)]; rclone, un gestore di archiviazione cloud open source da riga di comando [T1567,002 (si apre in una nuova scheda)]; e servizi di condivisione file disponibili al pubblico, quali MEGA [T1567,002 (si apre in una nuova scheda)], per sottrarre file contenenti dati aziendali sensibili prima della loro crittografia. Sebbene rclone e molti servizi di condivisione file disponibili al pubblico siano utilizzati principalmente per scopi legittimi, possono essere impiegati anche da soggetti malintenzionati per facilitare la compromissione dei sistemi, l’esplorazione delle reti o l’esfiltrazione dei dati. Gli affiliati di LockBit 3,0 utilizzano spesso anche altri servizi di condivisione file disponibili al pubblico per sottrarre dati [T1567 (si apre in una nuova scheda)].
Prospettive e indicazioni da parte di CTI
CTI ha già identificato il ransomware LockBit come una minaccia informatica di primo piano, motivata da fini economici. L’ultima nota informativa sulla sicurezza informatica, redatta da più agenzie, conferma tale valutazione.
LockBit ha dimostrato di essere in grado di riprendersi da un grave contrattempo causato da uno sviluppatore scontento (che ha reso pubblico il codice di compilazione di LockBit 3,0), e lo ha fatto in grande stile. Tra le vittime dell’operazione di ransomware figurano diverse aziende private di alto profilo, oltre a soggetti che gestiscono infrastrutture critiche.
Secondo TheHackerNews, «la società di sicurezza informatica industriale Dragos ha rivelato, all’inizio di quest’anno, che LockBit 3,0 era responsabile del 21% dei 189 attacchi ransomware rilevati contro infrastrutture critiche nel Q4 2022, per un totale di 40 incidenti». «La maggior parte di tali attacchi ha colpito i settori alimentare e delle bevande e quello manifatturiero».
A novembre, il Dipartimento di Giustizia degli Stati Uniti ha riferito che la variante del ransomware LockBit è stata utilizzata contro almeno 1.000 vittime in tutto il mondo, fruttando all’operazione oltre 100 milioni di dollari di profitti illeciti.
Da parte della CISA:
L’FBI, la CISA e l’MS-ISAC raccomandano alle organizzazioni di attuare le misure di mitigazione riportate di seguito per migliorare il proprio livello di sicurezza informatica alla luce delle attività di LockBit 3,0’s . Tali misure di mitigazione sono in linea con gli Obiettivi di sicurezza informatica intersettoriali ( Performance , CPG) elaborati dalla CISA e dall’Istituto Nazionale di Standard e Tecnologia (NIST). Le CPG definiscono una serie minima di prassi e misure di protezione che la CISA e l’ NIST o raccomandano a tutte le organizzazioni di attuare. La CISA e l’ NIST hanno elaborato le linee guida pratiche (CPG) sulla base dei quadri di riferimento e delle linee guida esistenti in materia di sicurezza informatica , al fine di garantire protezione contro le TTP più comuni e di maggiore impatto. Per ulteriori informazioni sui CPG, comprese ulteriori misure di protezione di base raccomandate, vi invitiamo a consultare gli obiettivi del programma “ Performance ” della CISA in materia di sicurezza informatica intersettoriale.
Ulteriori misure pratiche di mitigazione sono disponibili nell'avviso originale.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«La presente nota informativa giunge in un momento significativo per il ransomware e, più in generale, per il panorama delle minacce informatiche, poiché un numero sempre maggiore di operazioni di ransomware sta abbandonando l’estorsione tramite crittografia a favore di una vera e propria estorsione tramite furto di dati.» Ad esempio, il gruppo del ransomware BianLian (si apre in una nuova scheda) ha spostato la propria attenzione (si apre in una nuova scheda) dalla crittografia dei file delle vittime a attacchi di estorsione basati esclusivamente sul furto di dati. "Si tratta di una tendenza che, secondo le previsioni di CTI, è destinata a proseguire fino al 2023 e oltre."
2. Il nuovo strumento della CISA rileva attività di hacking nei servizi cloud dell’ Microsoft
L’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha rilasciato un nuovo strumento open source per la risposta agli incidenti (si apre in una nuova scheda) che aiuta a Detect individuare i segnali di attività dannose negli Microsoft ambienti cloud.
In linea con la consolidata tradizione dell’ Community di InfoSec di attribuire nomi stravaganti a cose serie, l’Untitled Goose Tool è un’utilità basata su Python sviluppata in collaborazione con i Sandia Laboratories e in grado di estrarre informazioni di telemetria da ambienti Active Directory di Azure , Microsoft , Azure e Microsoft 365 .
Da parte della CISA:
Untitled Goose Tool è uno strumento di rilevamento e risposta agli incidenti solido e flessibile che integra metodi innovativi di autenticazione e raccolta dati, al fine di condurre un’indagine completa sugli ambienti Azure Active Directory (AzureAD), Azure e M365 di un cliente.
La telemetria sopra menzionata è integrata da ulteriori dati provenienti da Microsoft Defender for Endpoint (MDE) e Defender for Internet of Things (IoT) (D4IoT).
Cosa può fare Goose
Secondo BleepingComputer, grazie allo strumento di interrogazione e analisi cloud multipiattaforma Microsoft della CISA, denominato “” (si apre in una nuova scheda), gli esperti di sicurezza e gli amministratori di rete possono:
- Esportare ed esaminare i registri di accesso e di audit di AAD, il registro di audit unificato M365 (UAL), i registri di attività di “ Azure ”, gli avvisi di “ Microsoft ” Defender for IoT (Internet of Things) e i dati di “ Microsoft ” Defender for Endpoint (MDE) relativi ad attività sospette.
- Eseguire query, esportare e analizzare le configurazioni di AAD, M365 e Azure .
- Estraete gli artefatti cloud dagli ambienti AAD, Azure e M365 di Microsoft'senza eseguire ulteriori analisi.
- Si esegua la limitazione temporale dell’UAL.
- Estraete i dati compresi in tali intervalli di tempo.
- "Raccogliere ed esaminare i dati utilizzando funzionalità simili di delimitazione temporale per i dati MDE."
La CISA è in grande spolvero
L’ultimo tentativo della CISA di fornire assistenza ai responsabili della sicurezza fa seguito a una serie di iniziative proattive, trasparenti e collaborative volte ad accrescere il proprio coinvolgimento nella protezione delle imprese appartenenti a enti governativi, al settore privato e alle infrastrutture critiche.
Ad esempio, la CISA ha recentemente rilasciato uno strumento open source denominato Decider (si apre in una nuova scheda) per aiutare i responsabili della sicurezza a generare report di mappatura MITRE ATT&CK. Poco prima del lancio di Decider, la CISA ha pubblicato una guida alle migliori pratiche intitolata “ ” () (si apre in una nuova scheda) relativa alla mappatura MITRE ATT&CK nel mese di gennaio, sottolineando l’importanza di utilizzare tale standard.
Inoltre, la CISA sta ora mettendo in guardia gli enti che gestiscono infrastrutture critiche (si apre in una nuova scheda)in merito ai sistemi esposti a Internet che risultano vulnerabili agli attacchi ransomware.
A quanto pare, quest’ultima iniziativa ha già dato i suoi frutti.
Da parte della CISA:
Avvalendosi di questa capacità di difesa informatica proattiva, la CISA ha segnalato a oltre 60 enti casi di intrusioni ransomware in fase iniziale a partire dal gennaio 2023, tra cui organizzazioni che gestiscono infrastrutture critiche nei settori dell’energia, dell’assistenza sanitaria e della sanità pubblica, dei sistemi idrici e fognari, nonché nel settore dell’istruzione Community.
Secondo BleepingComputer:
Ciò ha fatto seguito al lancio di una nuova partnership nell’ambito dell’iniziativa “ agosto 2021 ”, volta a proteggere le infrastrutture critiche degli Stati Uniti dal ransomware e da altre minacce informatiche, nota come Joint Cyber Defense Collaborative (JCDC).
L’agenzia per la sicurezza informatica aveva precedentemente pubblicato, all’indirizzo giugno 2021 , un nuovo modulo per il proprio strumento di valutazione della sicurezza informatica (CSET), denominato “Ransomware Readiness Assessment” (RRA), al fine di aiutare le organizzazioni a valutare il proprio livello di preparazione nella prevenzione e nel ripristino a seguito di attacchi ransomware.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
"La CISA e i suoi vertici stanno dimostrando un serio impegno nel migliorare la sicurezza informatica delle imprese appartenenti a enti governativi, al settore privato e alle infrastrutture critiche, e ciò è da lodare. Molti di noi attendono da tempo che il Paese adotti una politica e un’infrastruttura complete in materia di sicurezza informatica, e queste ultime iniziative rappresentano un passo positivo in tale direzione. "Complimenti, CISA."
3. L'arsenale in continua evoluzione di ScarCruft
Zscaler ha monitorato il sito (si apre in una nuova scheda) le TTP di APT37, noto anche come ScarCruft, che è stato molto attivo nel mese di febbraio e marzo 2023.
APT37 (si apre in una nuova scheda) è un gruppo di spionaggio informatico nordcoreano finanziato dallo Stato. Il gruppo ha storicamente preso di mira vittime in Corea del Sud, Giappone, Vietnam, Russia, ecc. Il gruppo APT37 ha in passato sfruttato vettori di infezione quali i cosiddetti “watering hole”, lo sfruttamento di vulnerabilità e e-mail di phishing contenenti allegati dannosi. Il gruppo APT37 viene comunemente osservato mentre distribuisce la backdoor Chinotto PowerShell .
I ricercatori hanno recentemente scoperto un archivio “ GitHub” di proprietà di un membro del gruppo APT37. A causa di quella che si ritiene essere stata una falla nella sicurezza operativa dell’autore della minaccia, Zscaler è riuscita ad accedere alle informazioni relative ai file dannosi utilizzati dal gruppo. Questo repository è stato utilizzato per preparare numerosi payload dannosi diversi utilizzati dall’autore della minaccia.
Le informazioni ricavate dal repository GitHub hanno inoltre consentito ai ricercatori di comprendere meglio i tipi di temi utilizzati da APT37 nelle proprie esche di ingegneria sociale. Tra questi temi figurano le opportunità legate alla geopolitica, gli istituti accademici e le aziende sudcoreane.
TTP recenti
- CHM: APT37 utilizza regolarmente una backdoor denominata Chinotto PowerShell , che installa sul sito endpoint tramite un file di aiuto Windows o un file CHM dannoso. I file CHM vengono distribuiti all'interno di file di archivio, la maggior parte dei quali contiene due componenti: il file CHM dannoso e il file esca che viene mostrato alla vittima. I file esca individuati sono spesso protetti da password, la quale è contenuta all’interno del file CHM.
- Componente aggiuntivo di MS Excel: Nel corso di una campagna monitorata su 15 marzo, è stato rilevato che APT37 stava caricando un componente aggiuntivo di Excel dannoso nel repository GitHub . Era la prima volta che si osservava il gruppo utilizzare file XLL. Questo file XLL estrae un file XLS e lo salva nel seguente percorso: C:\programdata\20230315_SejeongSupport[.]xls. Viene visualizzato il file XLS scaricato, che funge da esca e viene utilizzato esclusivamente come stratagemma di ingegneria sociale. Successivamente avvia MSHTA per scaricare un file HTA da un’ URL yangak[.]com. Il file HTA scaricato contiene la backdoor “ PowerShell ”, denominata Chinotto.
- LNK: Alcuni file LNK sono stati recuperati dal repository GitHub ; tali file erano stati caricati su agosto 2022 ed erano stati rilevati in attacchi reali all’incirca nello stesso periodo. I file LNK erano contenuti in archivi RAR. Era presente anche un file HTML che si spacciava per una pagina di accesso dell’azienda sudcoreana LG. I file LNK sono stati utilizzati per eseguire MSHTA e scaricare i file HTA dannosi dal server controllato dall'autore dell'attacco. La catena di attacchi porta all’installazione della stessa backdoor “ PowerShell ”, denominata Chinotto.
I metadati dei file LNK hanno rivelato che sono stati generati su una macchina virtuale che esegue VMware, con l'indirizzo Mac 00:0c:29:41:1b:1c. L'autore dell'attacco ha utilizzato la stessa macchina virtuale per generare più payload, rendendola utile per l'individuazione delle minacce e per future attività di attribuzione.
- È stato inoltre rilevato che il file MS Office basato su macro: APT37 stava caricando un file MS Office Word basato su macro nel repository GitHub . La macro avvia MSHTA per scaricare Chinotto.
- File HWP con oggetto OLE incorporato: APT37 ha inoltre implementato Chinotto sul sito endpoint utilizzando file HWP con oggetti OLE incorporati. Gli oggetti OLE si presentano sotto forma di elementi cliccabili sui quali la vittima deve cliccare affinché i payload PE dannosi vengano eseguiti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il “APT37 è l’ennesimo gruppo APT incredibilmente sofisticato, che evolve costantemente le proprie tattiche, tecniche e procedure (TTP). «La sua capacità di mantenere un archivio GitHub di payload dannosi per oltre 2 anni senza essere individuato né smantellato evidenzia ulteriormente la sofisticatezza delle operazioni.»
"L'uso di file CHM per la diffusione di malware (si apre in una nuova scheda) , un metodo denominato " ", è stato recentemente osservato in un altro gruppo affiliato alla Corea del Nord, Kimsuky. Kimsuky ha utilizzato file CHM per diffondere una backdoor incaricata di raccogliere i dati presenti negli appunti e quelli relativi ai tasti digitati."
"I file CHM rappresentano la prossima grande novità per gli APT nordcoreani? “Solo il tempo potrà dirlo.”
Ha qualche informazione su queste notizie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
