Per cominciare questa settimana, CTI analizza un rapporto di X-Force dell’ IBM e sulla nuova variante “Sphynx” del famigerato ransomware BlackCat/ALPHV. Successivamente, CTI analizza la scoperta effettuata d Microsoft di una vulnerabilità che consente agli autori degli attacchi, in possesso di privilegi di root, di aggirare i controlli della Protezione dell’integrità del sistema (SIP) di macOS e di installare malware “non cancellabile”. Infine, CTI conclude con un’analisi di un recente rapporto di Group-IB che descrive in dettaglio le ultime attività attribuite all’autore delle minacce identificato come Dark Pink.
1. La versione potenziata del ransomware BlackCat colpisce con rapidità fulminea e tattiche furtive
Un nuovo rapporto del team Security X-Force di IBM illustra in dettaglio gli aggiornamenti più rilevanti relativi all’operazione del ransomware BlackCat/ALPHV (si apre in una nuova scheda). Gli aggiornamenti comprendono miglioramenti alla velocità, alla capacità di occultamento e alle funzionalità di esfiltrazione del ransomware.
Che cos’è BlackCat?
- CTI considera BlackCat una delle principali minacce rappresentate dai ransomware e dalle estorsioni che le organizzazioni devono affrontare oggi.
- Gli autori delle minacce utilizzano BlackCat principalmente per prendere di mira i settori della pubblica amministrazione, dell’istruzione, dell’industria manifatturiera, del settore alberghiero e sanitario.
- BlackCat cerca di integrare una strategia di doppia estorsione nei propri attacchi. I dati rubati vengono solitamente pubblicati sul sito ufficiale dedicato alle fughe di notizie del gruppo, al fine di aumentare la pressione sulle vittime affinché paghino il riscatto.
Come spiega l’autore del rapporto “ IBM ”, BlackCat è passato al linguaggio di programmazione Rust (si apre in una nuova scheda)nel 2022 — una decisione probabilmente influenzata dalle opportunità di personalizzazione offerte dal linguaggio, nonché dalla sua utilità nel rendere più difficile il rilevamento e l’analisi del malware.
A un anno e mezzo da quando si ritiene che abbia fatto il suo ingresso nel panorama delle minacce informatiche, il gruppo BlackCat non mostra alcun segno di rallentamento. BlackCat/ALPHV si colloca costantemente tra le offerte più redditizie nel panorama dei servizi di ransomware-as-a-service (RaaS) di alto livello che caratterizzano il panorama delle minacce informatiche, contendendosi con altri gruppi di estorsione di spicco, quali LockBit, la quota maggiore dei pagamenti dei riscatti.
Che cos’è lo Sphynx?
Sphynx è una nuova e potente variante di BlackCat che, secondo l’analisi di X-Force di IBM, è dotata di «una serie di funzionalità aggiornate che rafforzano gli sforzi del gruppo volti a eludere il rilevamento».
Da Security X-Force di IBM :
X-Force ha osservato che gli affiliati di BlackCat continuano a perfezionare le proprie operazioni al fine di aumentare le probabilità di successo degli attacchi, in particolare per quanto riguarda il furto e la crittografia dei dati. Gli autori dell'attacco hanno automatizzato la fase di esfiltrazione dei dati dell'operazione utilizzando ExMatter, un malware personalizzato in grado di «scomparire» (autodistruzione). Inoltre, il gruppo BlackCat ha recentemente rilasciato una nuova versione del proprio ransomware, denominata Sphynx, dotata di funzionalità potenziate volte a eludere le misure difensive.
ExMatter è uno strumento di esfiltrazione dei dati basato su .NET che, secondo IBM X-Force, viene utilizzato esclusivamente da un cluster affiliato al ransomware BlackCat, monitorato da Microsoft come DEV-0504 (si apre in una nuova scheda). Per quanto riguarda le capacità evasive potenziate di BlackCat, già menzionate in precedenza, la versione Sphynx di BlackCat presenta ora codice spazzatura e stringhe crittografate; si tratta di miglioramenti volti a ostacolare il rilevamento e l’analisi. Anche gli argomenti della riga di comando passati al file binario sono stati sottoposti a una revisione completa — un aspetto che lo distingue dalle sue precedenti versioni.
Mentre le versioni precedenti utilizzavano il parametro del token di accesso per l'esecuzione, l'ultima versione elimina completamente tale parametro, sostituendolo con una serie di argomenti più complessi. Probabilmente ciò è stato fatto per rendere più difficile l’ Detect del ransomware, poiché gli esperti di sicurezza non dispongono ora di comandi standard sulla base dei quali poter svolgere attività di ricerca.
Ciò non sorprende, poiché la stessa banda BlackCat sostiene che il malware sia stato riscritto interamente da zero, con l’obiettivo dichiarato di questo aggiornamento di “, al fine di ottimizzare il rilevamento da parte di AV/EDR (si apre in una nuova scheda).”
21 febbraio 2023 e il gruppo di ransomware ALPHV hanno informato i propri affiliati in merito a un nuovo aggiornamento del “prodotto”. La loro nuova variante di ransomware si chiama Sphynx.
Un altro elemento che contraddistingue la nuova variante dai modelli precedenti è l’aggiunta del BlackCat Sphynx Loader.
Da The Hacker News:
Sphynx integra inoltre un loader per decriptare il payload del ransomware che, una volta eseguito, svolge attività di rilevamento della rete alla ricerca di ulteriori sistemi, elimina le copie shadow dei volumi, crittografa i file e, infine, rilascia la richiesta di riscatto.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«BlackCat deve chiaramente la propria longevità e redditività alla capacità di reinventarsi continuamente, migliorando ogni volta le caratteristiche e le funzionalità che consentono al malware di eludere il rilevamento e aggirare i meccanismi di sicurezza.»
"In qualità di professionisti della sicurezza, dobbiamo mantenere la stessa capacità di adattamento. Il CTI continuerà a monitorare questa minaccia per rilevare eventuali sviluppi significativi, fornendo aggiornamenti quando necessario.”
2. Microsoft ha individuato un bug di macOS che consente agli hacker di aggirare le restrizioni SIP di livello root
Un team di ricercatori di sicurezza dell’ Microsoft ha individuato una vulnerabilità che consente agli autori di attacchi dotati di privilegi di root di aggirare la Protezione dell’integrità del sistema (SIP) (si apre in una nuova scheda) e installare malware “non cancellabile”. Gli autori degli attacchi potrebbero inoltre accedere ai dati privati delle vittime aggirando le misure di sicurezza “Trasparenza, Consenso e Controllo” (TCC) di Apple.
Cosa occorre sapere sulla CVE-2023-32369
La vulnerabilità di sicurezza — denominata “Migraine” da Microsoft e identificata con i codici CVE-2023-32369 (si apre in una nuova scheda) — riguarda la tecnologia SIP in macOS.
Da Microsoft:
Il SIP ( ) è una tecnologia di sicurezza integrata in macOS (si apre in una nuova scheda) che impedisce all’utente root di eseguire operazioni che potrebbero compromettere l’integrità del sistema. L'aggiramento del protocollo SIP potrebbe comportare gravi conseguenze, quali l'aumento della possibilità che gli autori di attacchi e di malware riescano a installare rootkit, a creare malware persistente e ad ampliare la superficie di attacco per ulteriori tecniche ed exploit.
Il protocollo SIP — o “rootless” — impedisce a software potenzialmente dannosi di modificare determinate cartelle e file, imponendo restrizioni all’account utente root e limitandone le funzionalità all’interno di specifiche aree protette del sistema operativo. Il sistema opera secondo il principio guida secondo cui solo i processi firmati da Apple — o quelli dotati di autorizzazioni speciali — dovrebbero poter accedere o modificare i componenti protetti di macOS.
Scoperta e sfruttamento
I ricercatori di Microsoft hanno scoperto la vulnerabilità e la tecnica utilizzata per aggirare le consuete restrizioni del protocollo SIP nel corso di un’attività di monitoraggio di routine volta all’individuazione di malware. I ricercatori di Microsoft hanno concentrato la propria attenzione sui processi di sistema firmati da Apple e dotati dell’autorizzazione “com.apple.rootless.install.heritable (si apre in una nuova scheda).”
Utilizzando questa metodologia, i ricercatori hanno individuato due processi figli che potevano essere manipolati al punto da consentire loro di ottenere l’esecuzione di codice arbitrario, aggirando al contempo i controlli del SIP.
SIP e diritti
Come spiega Microsoft , il protocollo SIP protegge il sistema a partire dalla radice utilizzando la sandbox di Apple. Ciò contribuisce a proteggere la piattaforma, analogamente a quanto avviene con SELinux nei sistem Linux i.
«Una delle caratteristiche principali di SIP è la capacità di imporre restrizioni al file system, che impedisce la sovrascrittura di interi file e directory», spiega Microsoft . «I file e le directory protetti di default dal SIP sono solitamente quelli relativi all’integrità del sistema.»
Inoltre, non esiste alcun modo per disattivare il SIP su un sistema in funzione se non tramite il sistema operativo di ripristino — un metodo che richiede l’accesso fisico al dispositivo. Pertanto, un bypass SIP è una vulnerabilità che consente a un utente remoto di aggirarne le restrizioni. Microsoft presenta due esempi di come sia possibile aggirare tali restrizioni, sia eludendo le restrizioni SIP per scrivere in directory protette da SIP, sia creando un file protetto da SIP.
Passiamo ora ai diritti di macOS, che la documentazione di Apple descrive (si apre in una nuova scheda) come «un diritto o un privilegio che conferisce a un eseguibile determinate funzionalità».
Non è possibile falsificare questi diritti, poiché vengono ampiamente utilizzati da Apple per Enforce garantire la sicurezza all’interno di macOS e vengono concessi a processi ben specifici.
Ciò che è importante comprendere riguardo a tali autorizzazioni è che, quando vengono concesse a un processo, a tale processo è consentito, per impostazione predefinita, di aggirare i controlli di sicurezza del SIP.
Da Microsoft:
Un’autorizzazione particolarmente interessante è l’autorizzazione com.apple.rootless.install.heritable, che consente al processo e all’intero albero di processi ad esso subordinato di aggirare le misure di sicurezza della Protezione dell’integrità del sistema basate sul filesystem.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Come spiega Microsoft , il bypass arbitrario del protocollo SIP comporta gravi implicazioni, legate soprattutto alla notevole possibilità che gli autori di malware creino codice sostanzialmente impossibile da eliminare.»
"Microsoft " ne illustra le implicazioni in un pratico elenco. Tra queste figurano la creazione di malware impossibile da eliminare, l’ampliamento della superficie di attacco e altro ancora. Date un’occhiata qui: (si apre in una nuova scheda)."
"Apple ha successivamente risolto la vulnerabilità tramite gli aggiornamenti di sicurezza per macOS Ventura 13,4 (si apre in una nuova scheda), macOS Monterey 12,6,6 (si apre in una nuova scheda) e macOS Big Sur 11,7,7 (si apre in una nuova scheda), rilasciati due settimane fa su 18 maggio.”
3. Gli hacker di Dark Pink continuano a prendere di mira le organizzazioni governative e militari
Un recente rapporto del gruppo di sicurezza informatic -IB (si apre in una nuova scheda) descrive in dettaglio le ultime attività attribuite all’attore malintenzionato identificato come Dark Pink, un gruppo di hacker considerato una minaccia persistente avanzata (APT) che, negli ultimi tempi, è stato osservato mentre prendeva di mira organizzazioni governative, militari e del settore dell’istruzione in Indonesia, Brunei e Vietnam — aggiungendo cinque nuove organizzazioni in tre paesi all’elenco delle vittime del gruppo. Il gruppo di hacker “ ” (rosa scuro), (si apre in una nuova scheda) , sarebbe attivo almeno dalla metà del 2021 e si dedicherebbe principalmente ad attacchi contro varie entità nella regione Asia-Pacifico (APAC).
Il rapporto descrive un nuovo attore malintenzionato di alto livello, in grado di utilizzare malware personalizzato a sostegno delle proprie attività volte a sottrarre informazioni riservate da agenzie governative e organismi militari in diversi paesi della regione APAC.
Dotato di un kit di strumenti contenente malware su misura, Dark Pink è stato inoltre osservato mentre diffondeva malware tramite unità di memorizzazion USB i e sfruttava metodi di side-loading delle DLL e di esecuzione innescata da eventi per eseguire i propri payload sui sistemi compromessi.
Ora, in quello che può essere considerato un seguito del precedente rapporto intitolato “ gennaio 2023 ”, Group-IB ha documentato le ultime attività del gruppo di hacker in un post sul blog intitolato “Dark Pink torna alla ribalta: 5 nuove organizzazioni in 3 paesi aggiunte all’elenco delle vittime”.
Un ritorno in grande stile
Secondo le ultime ricerche, gli analisti di Group-IB affermano di aver individuato cinque nuove vittime di Dark Pink.
Inoltre, l’ambito geografico delle attività del gruppo sembra essere notevolmente più ampio di quanto precedentemente valutato — un dato confermato dal fatto che alcune entità con sede nel Brunei, in Thailandia e in Belgio sono state oggetto di attacchi informatici attribuiti a Dark Pink.
Da Group-IB:
Da ulteriori analisi è emerso che questo gruppo è tuttora attivo, poiché Dark Pink ha sferrato un attacco contro un ministero del governo del Brunei lo scorso gennaio e, più recentemente, contro un’agenzia governativa in Indonesia aprile 2023. Inoltre, i ricercatori di Group-IB sono riusciti ad attribuire altri tre attacchi della serie 2022 a questo specifico gruppo APT.
Punti chiave
- Il phishing di tipo “spear-” rimane la via di accesso iniziale preferita dal gruppo.
- L'arsenale del gruppo (costituito quasi interamente da strumenti personalizzati progettati per sottrarre file e dati delle piattaforme di messaggistica, come descritto nel precedente rapporto di Group-IB) è tuttora in uso da parte di Dark Pink. Molti di questi strumenti hanno subito miglioramenti significativi.
- Molti di questi aggiornamenti consentono agli operatori di Dark Pink di non essere individuati e di eludere varie misure difensive automatizzate di sicurezza informatica.
- Una ricerca condotta dall’unità Threat Intelligence di Group-IB ha portato alla scoperta di un nuovo account Dark Pink su GitHub. Da ulteriori analisi è emerso che l’account è stato creato quasi immediatamente dopo che, nel mese di gennaio, erano state rese pubbliche le informazioni relative al gruppo di hacker. Questo account GitHub consente agli operatori di Dark Pink di inviare comandi ai sistemi compromessi.
- I recenti attacchi di Dark Pink hanno comportato l’esfiltrazione di dati rubati tramite il protocollo HTTP utilizzando il servizio Webhook, sfruttando al contempo le funzionalità di un componente aggiuntivo di MS Excel per favorire il mantenimento della persistenza di TelePowerBot (una versione semplificata di KamiKakaBot, , scritto in PowerShell).
- Dark Pink utilizza inoltre i comandi “ PowerShell ” per verificare la presenza di software e strumenti di sviluppo legittimi sui dispositivi compromessi, nella speranza di individuare risorse che gli autori degli attacchi potrebbero sfruttare per portare avanti le proprie operazioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«La ricerca condotta da Group-IB suggerisce che l’APT Dark Pink sia un attore malintenzionato estremamente attivo, impegnato nello sviluppo continuo del proprio arsenale personalizzato e concentrato sull’espansione delle proprie operazioni, sia in termini di aree geografiche che di settori industriali.»
"Come sottolinea Group-IB, ‘I gruppi APT sono noti per la loro reattività e per la capacità di adattare i propri strumenti personalizzati al fine di eludere costantemente il rilevamento, e Dark Pink non fa eccezione.’"
"La recente espansione del raggio d’azione del gruppo e il suo impegno nel potenziare le proprie capacità anti-analisi e anti-rilevamento dovrebbero destare preoccupazione tra i professionisti della sicurezza e, sebbene non sia ancora collegato a un governo o a uno Stato specifico, Dark Pink dovrebbe essere considerato una minaccia significativa."
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti i seguenti siti: , , il forum di discussione di Tanium, (si apre in una nuova scheda),, e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi sulle minacce informatiche pubblicate su “ ” .
