Il primo argomento trattato nella rassegna di questa settimana è uno sguardo agli sviluppatori responsabili del famigerato malware Raccoon Stealer e alla fine della loro assenza dai forum di hacker. Successivamente, CTI illustra l’analisi condotta d Mandiant sull’interesse dimostrato dagli autori delle minacce nei confronti delle capacità di intelligenza artificiale. Infine, CTI conclude con un'analisi dettagliata dell'operazione del ransomware Monti, dopo una pausa di due mesi.
1. Il malware “Raccoon Stealer” fa nuovamente la sua comparsa
Gli sviluppatori responsabili del famigerato malware “Raccoon Stealer” ( ) (si apre in una nuova scheda) hanno interrotto la loro assenza dai forum di hacker e sono tornati a promuovere una nuova versione. Questa scoperta giunge a pochi mesi dall’arresto di uno dei suoi principali operatori, a causa del ruolo da lui svolto nell’operazione “ ”, un’iniziativa di tipo “malware-as-a-service” (MaaS) denominata “Raccoon” (si apre in una nuova scheda) .
Racoon Stealer: una breve introduzione
Raccoon Stealer è stato individuato per la prima volta nel 2019, quando veniva pubblicizzato su vari forum dedicati alla criminalità informatica come programma per il furto di informazioni. Il malware ha acquisito popolarità grazie alla sua semplicità, poiché tralasciava molte funzionalità avanzate e si concentrava maggiormente sulla possibilità di rubare dati.
Gli episodi legati a Raccoon hanno spesso origine nel corso di campagne di malspam, con l’invio di allegati dannosi. Il malware si diffonde inoltre tramite kit di exploit di terze parti e altre famiglie di malware.
A ottobre 2022 è stato arrestato uno dei principali membri del gruppo Raccoon Stealer, responsabile dell’infrastruttura dell’operazione. L'FBI è riuscita a recuperare i dati rubati da diversi computer che erano stati infettati dal malware. Questo arresto ha temporaneamente interrotto l’operazione — fino a poco tempo fa, quando Raccoon ne ha annunciato il ritorno in un post pubblicato su un forum dedicato all’hacking.
Le nuove funzionalità di Raccoon
- Ricerca rapida di cookie e pass: Un nuovo pannello di amministrazione offre un modo semplice per cercare gli URL. Questa funzionalità consente di individuare in modo rapido e semplice collegamenti specifici all’interno di grandi insiemi di dati, anche quando si ha a che fare con milioni di documenti e migliaia di collegamenti diversi. L’aggiunta di una funzione di ricerca rapida rappresenta un significativo passo avanti per il malware, offrendo un nuovo livello di praticità agli autori delle minacce.
- Blocco automatico dei bot e visualizzazione nel pannello di controllo: Il programma di furto di informazioni dispone di un nuovo sistema per rilevare modelli di attività insoliti, quali accessi multipli provenienti dallo stesso indirizzo IP o dallo stesso intervallo di indirizzi. Tale comportamento sospetto comporta la cancellazione automatica dei record associati all’attività, rendendo più difficile per gli strumenti di sicurezza di che sfruttano l’automazione e i bot Detect individuare il malware.
- Reporting sistema: In questa versione è stato aggiunto un sistema di segnalazione che consente di bloccare gli indirizzi IP utilizzati da crawler e bot, impedendo loro di monitorare il traffico di Raccoon.
- Statistiche dei log: Le statistiche dei log consentono agli autori delle minacce che acquistano il programma di furto di informazioni di visualizzare i paesi con il maggior numero di log.
Ulteriori osservazioni
Comportamento e funzionalità
Raccoon Stealer prende di mira una vasta gamma di applicazioni, utilizzando tecniche specifiche per sottrarre dati. Estrarrà il file dell’applicazione contenente dati sensibili, lo copierà in una cartella temporanea e creerà/scriverà un file di testo nella cartella dell’applicazione contenente i dati sottratti.
Per ottenere e decriptare le credenziali dalle applicazioni, il sistema acquisirà e scaricherà le DLL associate all’applicazione. I dati sottratti vengono raccolti in un file denominato log.zip prima di essere inviati al server di comando e controllo (C2) dell’autore dell’attacco.
Pannello di controllo
Gli abbonati a Raccoon hanno inoltre accesso a un pannello di controllo centralizzato su un servizio onion di Tor. Il pannello consente loro di generare e gestire le configurazioni delle campagne, creare payload del malware Raccoon e visualizzare i dati sottratti. È disponibile in inglese e in russo ed è accessibile tramite nome utente e password, che presumibilmente si ricevono al momento dell’iscrizione.
Il pannello di controllo utilizza risorse JavaScript accessibili senza autenticazione. Ciò ha consentito ai ricercatori di individuare alcune funzionalità attuali. Inoltre, riporta il testo relativo al contratto di utilizzo e alle sezioni delle domande frequenti. La risorsa JavaScript individuata ha rivelato le seguenti opzioni di menu a disposizione degli amministratori di Raccoon: tutti i registri, le statistiche, le notizie, i proxy e gli utenti.
Pannello delle statistiche
Un pannello statistico offre una panoramica delle campagne attive di Raccoon Stealer. La sezione "Conto" mostra i saldi attuali, probabilmente relativi ai fondi di abbonamento. Mostra inoltre le opzioni di configurazione per l'autenticazione a più fattori (MFA) e una funzione di reimpostazione della password.
Build/configurazioni
In base alla sezione delle domande frequenti, gli abbonati possono generare una singola build, sebbene siano supportate anche configurazioni multiple, che possono essere aggiornate o scaricate dalla piattaforma C2 nel corso della campagna.
Dopo aver definito e selezionato una configurazione, il processo di compilazione consente all’autore dell’attacco di creare una DLL o un file eseguibile per distribuire e avviare il payload. Il nuovo Raccoon MaaS consente inoltre di testare il payload appena realizzato in una macchina virtuale gestita dagli operatori di Raccoon. Il test invierà una notifica all'abbonato tramite il pannello di controllo, informandolo del corretto svolgimento dell'operazione e della comunicazione con il C2.
Carico utile
Molti autori di minacce utilizzano ormai allegati di documenti dannosi per diffondere payload di Racoon nel corso di campagne di malspam.
Each payload attempts to communicate with seemingly benign or legitimate URLs, during which an encrypted string is gathered/processed to retrieve the true C2 URL. Attualmente comunica con siti web che offrono servizi di accorciamento dei link Telegram URL .
Raccoon Stealer estrae credenziali, cookie e dati delle carte di pagamento da numerosi browser web e portafogli di criptovalute. Oltre al furto di dati, il malware raccoglierà informazioni sul sistema, tra cui i dettagli relativi alla versione del sistema operativo, all’hardware e alle applicazioni installate. Per caricare tali dati su un server C2 gate viene utilizzato un archivio ZIP di esfiltrazione.
Carichi utili aggiuntivi
Una volta che Raccoon Stealer ha completato l'esfiltrazione dei dati, l'autore dell'attacco può avviare il download o l'esecuzione di ulteriori payload. Tali payload variano a seconda dell’obiettivo finale dell’autore della minaccia. Tra le osservazioni più recenti figurano l’installazione di malware aggiuntivo per mantenere l’accesso remoto, nonché di payload destinati al cryptojacking.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Gli aggiornamenti apportati al famigerato malware Raccoon Stealer rivelano quanto stiano diventando sofisticati i suoi gestori. Ciò dimostra inoltre che il coinvolgimento dell’FBI e gli arresti non sono sempre sufficienti per neutralizzare gli autori delle minacce e gli operatori di malware.”
«L’introduzione di un ambiente VM in cui gli autori delle minacce possano eseguire e testare le loro build di Raccoon rappresenta una novità piuttosto originale e renderà probabilmente questo programma di furto di informazioni ancora più allettante.»
2. L'uso dell'IA generativa rimane limitato nonostante il crescente interesse
Negli ultimi anni, Mandiant ha monitorato l’interesse degli autori di minacce per le funzionalità di intelligenza artificiale (si apre in una nuova scheda). Sulla base delle loro osservazioni, l’utilizzo dell’intelligenza artificiale negli attacchi rimane limitato e riguarda principalmente l’ingegneria sociale.
Detto questo, l’intelligenza artificiale viene già utilizzata attivamente sul campo, con gli operatori del settore che attualmente impiegano contenuti generati dall’intelligenza artificiale nelle loro campagne.
L'utilizzo dell'intelligenza artificiale generativa nelle operazioni di informazione
Secondo Mandiant, le tecnologie di intelligenza artificiale hanno il potenziale di potenziare in modo significativo le capacità degli autori delle minacce.
Ciò è dovuto al fatto che l’IA generativa consente agli autori di minacce non professionisti di creare contenuti di qualità superiore su larga scala, eliminando al contempo le barriere linguistiche. I contenuti generati dall'intelligenza artificiale potrebbero inoltre risultare più persuasivi. Un esempio di ciò è rappresentato dai modelli di intelligenza artificiale addestrati sulle voci di persone reali per la creazione di registrazioni audio false.
L'adozione dell'intelligenza artificiale da parte degli operatori operativi
L’adozione dell’intelligenza artificiale varierà probabilmente a seconda del tipo di media. Ciò è dovuto alla disponibilità degli strumenti e all’efficacia di ciascuna forma di comunicazione nel suscitare una risposta emotiva.
- Immagini generate dall’intelligenza artificiale: Il sito Mandiant ha individuato diversi casi di operazioni che fanno ricorso a immagini generate dall’intelligenza artificiale. La disponibilità al pubblico di strumenti in grado di generare immagini tramite intelligenza artificiale ha probabilmente contribuito al suo uso frequente. Gli autori delle minacce hanno adottato ulteriori misure per nascondere l’origine generata dall’intelligenza artificiale delle loro foto profilo, aggiungendo filtri o ritoccando i tratti del viso.
- Video generati dall’intelligenza artificiale: La tecnologia video basata sull’intelligenza artificiale attualmente disponibile al pubblico consiste in modelli video con avatar personalizzabili generati dall’intelligenza artificiale che riproducono discorsi generati tramite sintesi vocale, nonché in strumenti di manipolazione video quali i servizi di sostituzione dei volti. Mandiant ha osservato l'impiego di queste tecnologie nelle campagne degli ultimi anni. Ad esempio, l’autore delle minacce Dragonbridge ha già utilizzato in passato un presentatore generato dall’intelligenza artificiale nel corso di una campagna.
- Testo generato dall’intelligenza artificiale: Il progetto “ Mandiant ” ha rilevato un solo caso in cui soggetti coinvolti in operazioni di informazione abbiano fatto riferimento a un testo generato dall’intelligenza artificiale. Tuttavia, Mandiant prevede che la recente comparsa di strumenti accessibili al pubblico potrebbe portare a una rapida diffusione.
- Audio generato dall’intelligenza artificiale: Mandiant ha riscontrato un utilizzo minimo o nullo dell’audio generato dall’intelligenza artificiale. Hanno osservato che gli utenti di tali tecnologie, come 4chan, creano tracce audio di personaggi pubblici che rilasciano dichiarazioni inappropriate.
Miglioramento dei materiali utilizzati per le esche
Gli autori di minacce possono avvalersi dei modelli linguistici di grandi dimensioni (LLM) per generare contenuti più convincenti e su misura per un pubblico specifico, anche senza comprendere la lingua del destinatario. I modelli di linguaggio di grandi dimensioni (LLM) consentono agli autori delle minacce di generare testi efficaci nelle campagne di phishing.
Mandiant ha inoltre rilevato prove del fatto che alcuni soggetti animati da motivazioni finanziarie utilizzino contenuti video e audio manipolati nelle truffe di tipo “Business Email Compromise” (BEC). Si sono verificati anche casi di truffe basate sull’usurpazione di identità tramite voce generata dall’intelligenza artificiale, in cui l’autore dell’attacco si finge un familiare della vittima per suscitare una reazione emotiva.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Ultimamente si è parlato molto di come l’intelligenza artificiale possa influire sul panorama delle minacce e di come possa fornire nuovi strumenti agli autori delle minacce. Mandiant “descrive in modo efficace alcune delle potenziali situazioni preoccupanti che potrebbero verificarsi, ma offre anche un leggero senso di sollievo sottolineando che, finora, il suo utilizzo in contesti reali è stato limitato.”
«Poiché sappiamo che gli autori delle minacce evolvono costantemente le proprie tattiche, tecniche e procedure (TTP) per adattarsi alle nuove tecnologie, non sorprende che molti ricercatori prevedano un maggiore ricorso all’intelligenza artificiale nelle campagne future.»
3. Il ransomware Monti prende di mira i server ESXi di VMware con un nuovo blocco di tipo “ Linux ”
L'operazione del ransomware Monti (si apre in una nuova scheda) è tornata attiva dopo una pausa di due mesi durante la quale non sono state pubblicate le liste delle vittime sul proprio sito dedicato alla divulgazione dei dati.
Il ransomware Monti sta ora utilizzando un nuovo blocco di tipo “ Linux ” per prendere di mira i server ESXi di VMware . La versione precedente di Locker si basava in larga misura sul codice trapelato da Conti, ma i ricercatori di hanno riscontrato (si apre in una nuova scheda) che la nuova variante presenta differenze significative rispetto alle versioni precedenti basate su Linux.
Informazioni sul ransomware Monti
Il ransomware Monti presenta varianti basate sia su Windows che su Linux e ha iniziato ad attirare l’attenzione per la prima volta nel giugno 2022 a causa della sua somiglianza con il ransomware Conti. L'operazione ha sfruttato numerose tecniche, tattiche e procedure (TTP) ampiamente riconosciute del famigerato gruppo Conti, oltre ad aver utilizzato gran parte del codice sorgente di Conti trapelato.
Il gruppo di ransomware Monti sembra aver sospeso per due mesi la pubblicazione dei nomi delle vittime sul proprio sito dedicato alla divulgazione dei dati, ma da allora ha ripreso le attività prendendo di mira vittime operanti nei settori legale e governativo. Con il loro ritorno arriva una nuova variante di Monti basata su “ Linux”.
Le precedenti varianti di Monti Linux si basavano in gran parte sul codice sorgente di Conti, mentre questa nuova versione utilizza un crittografo diverso con alcune caratteristiche distintive. Al momento di tale scoperta, solo tre fornitori avevano contrassegnato questa variante come dannosa su VirusTotal. Trend Micro ha confrontato questa variante con le precedenti varianti di Monti Linux e ha riscontrato un tasso di somiglianza del 29%, il che indica che devono essere state apportate diverse modifiche.
Marcatore di infezione
Una novità di questa variante consiste nell’aggiunta dei byte MONTI, seguiti da ulteriori 256 byte collegati alla chiave di crittografia. Il ransomware verificherà se la dimensione del file è pari o inferiore a 261 byte, corrispondente alla dimensione del marcatore di infezione che aggiunge dopo la crittografia.
Se ciò è vero, il ransomware procederà con il proprio processo di infezione. Se ciò non fosse vero, Monti verificherà gli ultimi 261 byte del file per confermare la presenza della stringa MONTI. Se il file è già crittografato, verrà ignorato.
Crittografia
Trend Micro ha accertato che questa nuova variante di ransomware utilizzava un algoritmo di crittografia AES-256-CTR tramite la funzione evp_enc della libreria OpenSSL , a differenza della variante precedente, che utilizzava invece l'algoritmo Salsa20 . Il nuovo campione utilizza inoltre vari metodi di crittografia dei file, basandosi esclusivamente sulle dimensioni dei file per il processo di crittografia.
Il ransomware crittograferà solo i primi 100.000 byte del file, aggiungendo il proprio marcatore di infezione alla fine del file solo se la dimensione di quest'ultimo è superiore a 1,048MB ma inferiore a 4,19MB. Se il file supera tale dimensione, verrà eseguita un'operazione di spostamento a destra per calcolare la dimensione totale del file da crittografare. Tutti i file di dimensioni inferiori a 1,048MB saranno crittografati.
Come nelle varianti precedenti, a tutti i file viene aggiunta l'estensione .monti. Anche la nota di riscatto, denominata “readme.txt”, viene inserita in ogni directory. Inoltre, Trend Micro ha individuato un codice di decrittografia che suggerisce che l’autore dell’attacco potrebbe starne testando la funzionalità. Tuttavia, tale codice di decrittazione si è rivelato inefficace, poiché richiede una chiave privata nota solo all’autore.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il ransomware Monti non ha mai fatto molto scalpore nei notiziari a causa del suo volume di attacchi relativamente basso, ma ciò non significa che debba essere ignorato come minaccia.
Gli autori dell’attacco all’origine di questa operazione stanno ora iniziando ad allontanarsi dall’utilizzo esclusivo del codice sorgente di Conti trapelato e stanno aggiungendo nuove funzionalità di propria ideazione. «Monti sta seguendo le orme di molte altre bande di autori di ransomware, impegnandosi a migliorare la propria capacità di eludere il rilevamento.»
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
