CTI Roundup: Microsoft Avverte degli Attacchi di Mercury e DEV-1084 sugli Ambienti Ibridi

Per iniziare la rassegna di questa settimana, CTI offre una panoramica di un preoccupante rapporto dell’ Microsoft , relativo alla scoperta di un’operazione distruttiva caratterizzata da attacchi rivolti a risorse appartenenti sia ad ambienti on-premise che cloud.

CTI conclude con una sintesi dell’ultima campagna di spionaggio informatico condotta dall’attore malintenzionato russo Nobelium, sulla base di un avviso diffuso dal Servizio di controspionaggio militare polacco.

1. Mercury e DEV-1084: attacco distruttivo su un ambiente ibrido

Microsoft Threat Intelligence ha scoperto  (si apre in una nuova scheda)operazioni distruttive che hanno preso di mira sia gli ambienti on-premise che quelli cloud.

Gli attacchi sono stati resi possibili da Mercury — un attore malintenzionato di livello statale sostenuto dall’Iran — che probabilmente ha collaborato con l’attore DEV-1084 per compiere azioni distruttive successive allo sfruttamento delle vulnerabilità e per passare dall’ambiente on-premise al cloud nel corso dell’attacco.

L'attacco cerca di far passare l'attività per una tradizionale campagna di ransomware, con l'obiettivo finale di provocare distruzione e interruzione delle attività.

• Mercury: Mercury, noto anche come MuddyWater (si apre in una nuova scheda), è un attore malintenzionato di tipo statale legato al governo iraniano. Più precisamente, Mercury è stata collegata al Ministero dell’Intelligence e della Sicurezza iraniano (MOIS). Gli attacchi precedenti sferrati da Mercury hanno preso di mira esclusivamente ambienti on-premise presso enti governativi e organizzazioni private operanti in vari settori, tra cui le telecomunicazioni, le amministrazioni locali, la difesa, il settore petrolifero e quello del gas naturale. Le sue vittime precedenti si sono concentrate principalmente in Medio Oriente, Asia, Africa, Europa e Nord America. Mercury, inoltre , è balzata alla ribalta  (si apre in una nuova scheda)lo scorso anno, quando ha colto l’occasione per sfruttare le vulnerabilità Log4j e 2 .
• DEV-1084: DEV-1084 è un altro attore malintenzionato iraniano monitorato da Microsoft , che si ritiene abbia collaborato con Mercury nella sua ultima campagna. DEV-1084 ha adottato pubblicamente il DarkBit persona all’inizio di quest’anno nell’ambito di un attacco di tipo ransomware ed estorsione rivolto al Technion (si apre in una nuova scheda). Questo attacco ha preso di mira Israele utilizzando opzioni da riga di comando e routine di crittografia ottimizzate.

I legami tra questi due gruppi di minacce derivano da sovrapposizioni a livello di infrastrutture, indirizzi IP e strumenti utilizzati. Al momento non è chiaro quale sia l’esatto rapporto tra questi due attori malintenzionati, né se operino in modo indipendente o se DEV-1084 sia un sottogruppo di Mercury che emerge solo quando agli operatori di Mercury viene ordinato di sferrare questo tipo di attacchi distruttivi.

Attacco in ambiente ibrido

Microsoft ritiene che Mercury ottenga l'accesso iniziale tramite lo sfruttamento remoto di un dispositivo esposto a Internet e privo di patch. Mercury sembra quindi trasferire l'accesso a DEV-1084.

Sembra che gli autori dell’attacco abbiano effettuato diversi tentativi di intrusione iniziale, riuscendo infine nel loro intento sfruttando alcune applicazioni vulnerabili e non protette.

Dopo aver ottenuto l'accesso, gli autori dell'attacco hanno proceduto a implementare vari strumenti e tecniche per garantire la persistenza. Tra questi figuravano:

• Installazione di web shell
• Aggiunta di account utente locali prima di elevare i privilegi a quelli di amministratore locale
• Installazione di strumenti di accesso remoto autorizzati, tra cui RPort, Ligolo ed eHorus
• Installazione di uno script backdoor personalizzato PowerShell
• Furto di credenziali

Gli autori dell'attacco hanno quindi svolto attività di ricognizione avvalendosi di strumenti nativi di “ Windows ” e di comandi quali netstat e nltest.

Grazie alle credenziali rubate, gli autori dell’attacco sono riusciti a compiere azioni di movimento laterale all’interno dell’ambiente. Tali azioni comprendono attività pianificate in remoto per l’avvio di una backdoor personalizzata PowerShell , l’utilizzo di WMI per l’esecuzione di comandi e servizi remoti per l’esecuzione di comandi codificati PowerShell . I nuovi dispositivi infetti sono stati colpiti dagli stessi meccanismi di persistenza sopra elencati.

Microsoft osserva che gli autori delle minacce talvolta attendevano settimane (e, in alcuni casi, mesi) prima di passare alla fase successiva della catena di attacco.

Impatto sulle strutture in loco

Gli autori dell'attacco hanno interferito con gli strumenti di sicurezza tramite gli oggetti Criteri di gruppo (GPO) e hanno sfruttato le credenziali con privilegi elevati per accedere ai controller di dominio. Ciò ha consentito loro di prepararsi alla crittografia su larga scala.

GPO è stato utilizzato per registrare un'attività pianificata volta ad avviare il ransomware, che era stato precedentemente caricato nelle condivisioni NETLOGON di diversi controller di dominio. Il payload del ransomware crittografa i file presenti nel sistema e aggiunge l'estensione DARKBIT.

Dall’ambiente locale al cloud

Gli autori dell'attacco hanno interferito con gli strumenti di sicurezza tramite gli oggetti dei criteri di gruppo (GPO) e hanno sfruttato le credenziali con privilegi elevati per accedere ai controller di dominio. Ciò ha consentito loro di prepararsi alla crittografia su larga scala. GPO è stato utilizzato per registrare un'attività pianificata volta ad avviare il ransomware, che era stato precedentemente caricato nelle condivisioni NETLOGON di diversi controller di dominio. Il payload del ransomware crittografa i file presenti nel sistema e aggiunge l'estensione DARKBIT.

Impatto del cloud

Gli autori dell’attacco sono riusciti a eseguire la cancellazione di massa delle risorse dell’ Azure , a sfruttare in modo improprio l’API del server Web Exchange e a simulare l’identità di mittenti di e-mail.

• Azure eliminazione della risorsa: Gli autori dell’attacco hanno ottenuto i permessi di amministratore globale tramite PIM – Azure Privileged Identity Management – e hanno ampliato tale accesso per ottenere i permessi relativi ai gruppi di gestione e agli abbonamenti Azure . Tale account amministratore compromesso, insieme all’account “ Azure ” di AD Connector, è stato utilizzato per distruggere l’ambiente Azure . La distruzione ha comportato la cancellazione di parchi server, macchine virtuali, account di archiviazione e reti virtuali nel giro di poche ore.
• Exchange Abuso dell’API del server Web: Gli autori dell’attacco hanno ottenuto l’accesso completo alle caselle di posta tramite i servizi Web di Exchange , fornendo un’applicazione OAuth legittima dotata delle autorizzazioni appropriate e del consenso dell’amministratore. Tali privilegi hanno consentito all’autore dell’attacco di aggiornare l’applicazione OAuth con certificati al fine di compiere attività dannose. Gli autori dell'attacco hanno quindi sfruttato le autorizzazioni di tale applicazione per eseguire operazioni GetItem e per effettuare migliaia di ricerche — potenzialmente al fine di estrarre i dati delle caselle di posta o di individuare informazioni sensibili al loro interno.
• Falsificazione dell'identità tramite e-mail: L'account amministratore compromesso è stato utilizzato per concedere a SMTP le autorizzazioni di “invio per conto di” all'account Azure AD Connector. Tale operazione è stata eseguita sulla casella di posta di un dipendente di alto livello tramite il cmdlet Set-Mailbox PowerShell . Sono state quindi redatte e inviate delle e-mail sia a destinatari interni che esterni.

Estrazione delle credenziali

Due settimane prima della diffusione del ransomware, sono state utilizzate credenziali compromesse per accedere al dispositivo AD Connect dell’ Azure . In quel momento, gli autori dell'attacco hanno avviato un tunnel SSH verso un dispositivo da loro controllato.

Poco prima della diffusione del ransomware, un indirizzo IP associato a un autore di attacchi noto ha effettuato l’autenticazione nell’account cloud di Azure AD Connector. Tale accesso non ha comportato la tentata individuazione o la modifica della password delle credenziali, il che indica che l’autore dell’attacco probabilmente era già in possesso della password di tale account.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

«Le campagne ibride che prendono di mira sia gli ambienti on-premises che quelli cloud nel corso di un unico attacco non sono un fenomeno che si verifica quotidianamente.» Certo, possono esistere malware con diverse varianti in grado di colpire sia gli ambienti on-premise che quelli cloud, ma l’effettivo passaggio dall’ambiente on-premise a quello cloud nel corso di un unico attacco è un fenomeno molto meno frequente tra gli autori delle minacce che monitoriamo attualmente."

"Sulla stessa linea, il passaggio di Mercury dal concentrarsi esclusivamente sugli ambienti on-premise al lanciare attacchi sia contro gli ambienti on-premise che contro quelli cloud segna una potenziale evoluzione nella metodologia adottata dagli attori che popolano il panorama delle minacce, evidenziando l’aumento degli attacchi mirati al cloud. Questa campagna si avvale di tattiche, tecniche e procedure (TTP) che non sono necessariamente nuove o innovative. "Ad esempio, il furto di credenziali, l’escalation dei privilegi, l’installazione di web shell e l’implementazione di criteri di gruppo dannosi sono tutte pratiche che abbiamo già riscontrato in campagne precedenti."

"Ciò che contraddistingue questa campagna è il modo incisivo con cui essa combina queste TTP per ottenere l'accesso a due diversi tipi di ambienti di rete. Sebbene questo attacco sembri essere stato perpetrato da due attori malintenzionati che operano in collaborazione, entrambi i gruppi di attività sembrano essere collegati all’attore malintenzionato principale con sede in Iran, MuddyWater. Ciò non sorprende, poiché gli attori malintenzionati sostenuti dallo Stato iraniano sono noti per affidare a terzi alcune parti delle loro operazioni.”

2. Hacker russi collegati a una serie di attacchi su larga scala contro la NATO e l’UE

Secondo una nota informativa del Servizio di controspionaggio militare polacco, il proprio Computer Emergency Response Team ha collegato il gruppo di hacker APT29 , sostenuto dallo Stato russo — ovvero Nobelium (si apre in una nuova scheda) — a una recente ondata di attacchi su larga scala rivolti sia ai paesi della NATO che a quelli dell’Unione europea (UE), nell’ambito di una vasta campagna di spionaggio informatico.

Dettagli della campagna

Sebbene l’avviso di CERT.PL, pubblicato da ( ) (si apre in una nuova scheda) , sottolinei che la campagna è ancora in corso, sembra che l’obiettivo principale dell’operazione di Nobelium sia la raccolta su larga scala di informazioni sensibili — del tipo che non solo è in linea con gli obiettivi del governo russo, ma ne favorisce anche il raggiungimento. Tra gli obiettivi figurano sedi diplomatiche appartenenti alla NATO e ministeri degli Esteri dei paesi dell’UE, nonché di alcune nazioni africane.

Per quanto riguarda la vittimologia e le modalità di selezione delle vittime, questo non è affatto un territorio inesplorato per Nobelium. Tuttavia, il CERT.PL riferisce che, nonostante l’infrastruttura e le TTP coincidano in parte (o integralmente) con le precedenti attività di Nobelium, il software specifico impiegato nel corso di questa campagna contraddistingue tale operazione, in quanto, a quanto pare, non è mai stato “descritto pubblicamente” in precedenza.

Il rapporto afferma che i nuovi strumenti sono stati implementati sia contemporaneamente sia indipendentemente l’uno dall’altro; l’idea è che Nobelium stia sostituendo metodicamente le utility la cui efficacia è in declino, consentendo così all’attore di mantenere il proprio consueto elevato ritmo operativo (OPTEMPO).

Dettagli dell'attacco

Come descritto nell’avviso di CERT.PL, il decorso degli attacchi che compongono questa campagna è iniziato con attacchi di spear e phishing, nell’ambito dei quali sono state inviate e-mail che si spacciavano per quelle delle ambasciate europee a personale specifico che ricopre incarichi diplomatici.

• I messaggi contenevano o un invito a un incontro o una richiesta di collaborazione alla redazione di documenti.
• In ogni messaggio era presente un link, che si trovava nel corpo dell’e-mail oppure era contenuto in un documento PDF allegato.
• Il link era stato progettato in modo tale da dare l’impressione di consentire al destinatario di accedere al calendario dell’ambasciatore di cui si era usurpata l’identità, di visualizzare i dettagli delle riunioni o di indirizzare la vittima verso un file scaricabile.

In realtà, il link reindirizzava i destinatari verso un sito web compromesso contenente uno script dannoso, un frammento di codice comunemente noto come ENVYSCOUT (si apre in una nuova scheda) — un dropper che è stato utilizzato da Nobelium almeno dal 2021.

Da CERT.PL:

Si avvale della tecnica denominata “HTML Smuggling”, in base alla quale un file dannoso inserito nella pagina viene decodificato tramite JavaScript all’apertura della stessa e successivamente scaricato sul dispositivo della vittima. Ciò rende più difficile l' Detect azione del file dannoso sul lato server, dove è archiviato. La pagina web riportava inoltre un’informazione volta a rassicurare la vittima sul fatto che avesse scaricato l’allegato corretto.

Secondo il bollettino, l’autore dell’attacco ha impiegato tre diverse versioni di ENVYSCOUT, aggiungendo progressivamente nuovi meccanismi per eludere il rilevamento e rendere più difficile l’analisi man mano che la campagna procedeva.

Modifiche ai formati dei file

CERT.PL osserva che le campagne passate attribuite a Nobelium ricorrevano comunemente a file .ZIP o .ISO per diffondere malware. In questa campagna, l’autore dell’attacco ha aggiunto l’uso dei file .IMG al proprio repertorio abituale.

Poiché le immagini disco con estensione .ISO e .IMG vengono montate automaticamente nel file system al momento dell'apertura, il loro contenuto viene visualizzato all'interno di Windows Explorer. Inoltre, questi tipi di file non presentano il “mark-of-the-web” (MOTW), il che significa c Windows e non avviserà l’utente che i file provengono da Internet.

L'autore dell'attacco ha utilizzato una serie di tecniche per indurre le vittime ad avviare il malware.

Da CERT.PL:

Uno di questi era un file di collegamento (LNK) di tipo “ Windows ” che fingeva di essere un documento, ma che in realtà eseguiva una libreria DLL nascosta contenente gli strumenti dell’autore dell’attacco. È stata inoltre rilevata la tecnica del “sideloading” delle DLL, che consiste nell’utilizzare un file eseguibile firmato per caricare ed eseguire il codice contenuto in una libreria DLL nascosta, collocandola nella stessa directory con un nome scelto in base alle voci presenti nella tabella di importazione. In una fase successiva della campagna, il nome del file eseguibile conteneva numerosi spazi per rendere più difficile individuare l'estensione .exe.

Strumenti utilizzati

Oltre a ENVYSCOUT, Nobelium ha utilizzato una serie di strumenti nelle diverse fasi della campagna. Sono riportati nel seguente elenco tratto da CERT.PL, con collegamenti alle analisi tecniche dettagliate relative a ciascuno di essi:

• SNOWYAMBER  (si apre in una nuova scheda): uno strumento utilizzato per la prima volta in ottobre 2022, che sfrutta la vulnerabilità Notion7 service per comunicare e scaricare ulteriori file dannosi. Sono state individuate due versioni di questo strumento.
• HALFRIG (si apre in una nuova scheda): utilizzato per la prima volta in febbraio 2023. Questo strumento si distingue dagli altri per il codice integrato che esegue lo strumento COBALT STRIKE.
• QUARTERRIG (si apre in una nuova scheda): uno strumento utilizzato per la prima volta in marzo 2023, che condivide parte del codice con HALFRIG. Sono state osservate due versioni di questo strumento.

Da CERT.PL:

Gli strumenti SNOWYAMBER e QUARTERRIG sono stati utilizzati come cosiddetti “downloader”. Entrambi gli strumenti hanno trasmesso all’autore dell’attacco l’indirizzo IP, nonché i dati relativi al computer e al nome utente. Sono stati utilizzati per valutare se la vittima fosse di interesse per l’autore dell’attacco e se si trattasse di un ambiente di analisi del malware. Qualora la workstation infetta superasse la verifica manuale, venivano utilizzati i suddetti downloader per distribuire e avviare gli strumenti commerciali COBALT STRIKE o BRUTE RATEL. HALFRIG, invece, funziona come un cosiddetto “loader”: contiene il payload COBALT STRIKE e lo esegue automaticamente.

Sebbene questa campagna sia in qualche modo unica nel suo genere, in quanto segna la comparsa di un nuovo malware (che è stato oggetto di vari aggiornamenti e modifiche nel corso dello svolgimento della campagna), il CERT.PL descrive diversi elementi dell’operazione come ripetibili ed elenca in particolare i seguenti attributi dell’attacco:

1. Il modo in cui è realizzata l’infrastruttura. L'autore della campagna di spionaggio preferisce avvalersi di siti web vulnerabili appartenenti a entità casuali.
2. Tema dell'e-mail. Tutte le e-mail acquisite e utilizzate nelle campagne avevano come tema la corrispondenza tra enti diplomatici.
3. L'utilizzo di uno strumento comunemente denominato ENVYSCOUT. Questo copione è stato utilizzato dall'attore almeno dal 20219. Nel corso della campagna sono state rilevate modifiche al codice dello strumento, ma queste non hanno influito in modo significativo sulla sua funzionalità.
4. Alla vittima è stato fornito un link allo strumento ENVYSCOUT sotto forma di link incorporato nel corpo dell’e-mail o nel corpo di un file PDF allegato.
5. Utilizzo delle immagini disco " ISO ", " " e "IMG".
6. L’utilizzo di una tecnica denominata “DLL Sideloading” , che si avvale di un file eseguibile non dannoso e dotato di firma digitale per avviare gli strumenti dell’autore dell’attacco.
7. Utilizzo degli strumenti commerciali , COBALT STRIKE e BRUTE RATEL.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

«È opportuno sottolineare che le linee guida relative a questa specifica vulnerabilità di sicurezza sono in vigore già dall’aprile del 2021. Sebbene l’inserimento del termine “zero-day” nel titolo di un post sul blog attiri sicuramente l’attenzione, tra gli esperti di sicurezza informatica vi è disaccordo sul fatto che questa specifica falla costituisca effettivamente un esempio di vulnerabilità zero-day.

Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .