Il gruppo di hacker russo APT29 continues , sostenuto dallo Stato, è destinato a fare notizia e a causare non pochi grattacapi. Questa settimana analizziamo la nuova funzionalità post-compromissione dell’autore dell’attacco, denominata MagicWeb, che consente a APT29 di autenticarsi come qualsiasi utente all’interno di una rete compromessa. Esaminiamo inoltre come APT29 stia sfruttando i servizi Active Directory di Azure per violare account appartenenti a organizzazioni statunitensi e membri della NATO. Inoltre, forniamo informazioni dettagliate su come gli hacker stiano utilizzando il toolkit Sliver come alternativa a Cobalt Strike.
1. Microsoft Dettagli sulle APT29’s tecniche di autenticazione post-compromissione che consentono di assumere l'identità di chiunque
Un nuovo rapporto del Threat Intelligence Center (MSTIC) dell’ Microsoft rivela come il gruppo APT29 , una minaccia persistente avanzata (APT) sponsorizzata dallo Stato russo — noto anche come Nobelium e Cozy Bear — abbia sviluppato per primo uno strumento di post-exploit di tipo “” denominato MagicWeb (si apre in una nuova scheda), che consente agli autori degli attacchi di autenticarsi come qualsiasi utente.
Microsoft ha scoperto una funzionalità post-compromissione che abbiamo denominato MagicWeb, che l’autore della minaccia, identificato come NOBELIUM, sta utilizzando per mantenere un accesso persistente agli ambienti da lui compromessi. Analisi tecniche approfondite e consigli sulla caccia sono disponibili qui: msft.it/6016jeB4i
Chi è APT29?
Se siete nuovi al gruppo APT29, sappiate che si tratta di un gruppo molto attivo, versatile e in grado di gestire più campagne contemporaneamente. Tra le vittime di questo gruppo figurano organizzazioni governative, organizzazioni non governative (ONG), organizzazioni intergovernative (OIG) e centri di ricerca con sede negli Stati Uniti, in Europa e in Asia centrale.
Che cos’è MagicWeb?
Il gruppo APT29 sta ora utilizzando una funzionalità post-compromissione, denominata MagicWeb, che consente al gruppo di mantenere un accesso persistente agli ambienti compromessi e di effettuare movimenti laterali. MagicWeb è costituito da una DLL dannosa che consente la manipolazione dei token generati da un server Active Directory Federated Services (AD FS). MagicWeb gestisce i certificati di autenticazione dell'utente necessari per l'autenticazione, a differenza dei certificati di firma.
I ricercatori dell’MSTIC ritengono che MagicWeb sia stato molto probabilmente implementato in un determinato momento nel corso di un attacco già in atto e che sia stato utilizzato da APT29 per mantenere l’accesso durante «misure correttive strategiche volte a prevenire l’espulsione».
Il rapporto prosegue affermando che «...in settembre 2021, Microsoft è stata resa nota una funzionalità post-sfruttamento denominata FoggyWeb (si apre in una nuova scheda) con metodi e finalità simili a quelli di MagicWeb. FoggyWeb era in grado di sottrarre il database di configurazione dei server AD FS compromessi, decrittografare i certificati di firma dei token (si apre in una nuova scheda) e i certificati di decrittografia dei token (si apre in una nuova scheda), nonché di scaricare ed eseguire ulteriori componenti di malware. MagicWeb va oltre le funzionalità di raccolta dati di FoggyWeb, consentendo un accesso diretto e discreto.”
Opzioni di mitigazione per MagicWeb
APT29’s ability to deploy MagicWeb hinges entirely upon obtaining access to the highly privileged credentials with administrative access to AD FS servers. Pertanto, è fondamentale considerare i sistemi AD FS come risorse di primo livello e di estrema importanza, applicando loro le stesse misure di protezione che si applicherebbero ai controller di dominio o ad altre risorse del proprio stack tecnologico ritenute di natura critica.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Come ha chiarito l’MSTIC, MagicWeb, in quanto funzionalità, non rappresenta esattamente un terreno inesplorato per il APT29 — né lo è l’uso improprio da parte del gruppo delle identità e degli accessi con credenziali.»
Considerata la sofisticatezza di APT29’s , la sua storia costellata di attacchi di grande risonanza, i continui progressi nella metodologia e i nuovi elementi aggiunti al proprio arsenale di malware, è positivo constatare che MSTIC abbia fornito alcune linee guida raccomandate per la ricerca attiva e query avanzate di ricerca verso la fine del proprio articolo. Defender Antivirus e Defender for Endpoint di Microsoft emettono entrambi, rispettivamente, un avviso relativo a questa minaccia Detect/alert.”
2. Gli hacker russi sfruttano i servizi di “ Azure ” per violare 365 account di “ Microsoft ” degli Stati Uniti e della NATO
Da un recente rapporto della società di sicurezza informatica Mandiant emerge che APT29 sta prendendo di mira attivamente Microsoft 365 account appartenenti a organizzazioni statunitensi e affiliate alla NATO (si apre in una nuova scheda) al fine di sottrarre dati sensibili.
APT29’s L’attività recente è caratterizzata da campagne di spionaggio che evidenziano una costante attenzione alla sicurezza operativa (OPSEC) e a tattiche avanzate rivolte all’ Microsofte 365.
Mandiant evidenzia le seguenti APT29 TTP utilizzate nelle operazioni recenti:
- Disattivazione delle licenze: Microsoft 365 si avvale di diverse licenze per regolamentare l’accesso degli utenti ai servizi offerti dalla propria suite di prodotti. Queste stesse licenze spesso stabiliscono le impostazioni di sicurezza, quali la conservazione dei registri e la documentazione degli accessi ai messaggi di posta elettronica.
L'audit "Purview" abilita l'audit "Mail Items Accessed", che registra la stringa user-agent, il timestamp, l'indirizzo IP e l'utente ogni volta che si accede a un messaggio di posta. Il sistema di audit registra qualsiasi tipo di accesso alla posta, sia che avvenga tramite l’API Graph, Outlook, un browser o qualsiasi altra modalità.
- Acquisizione dei conti inattivi tramite MFA: Nonostante i numerosi vantaggi dell’autenticazione a più fattori (MFA), questa rimane comunque vulnerabile agli attacchi — e gli autori delle minacce escogitano costantemente nuovi modi per aggirarla. Mandiant In precedenza è stato illustrato come gli autori delle minacce sfruttino l’autenticazione a più fattori (MFA) basata su notifiche push di (si apre in una nuova scheda) per inondare gli utenti di notifiche fino a quando questi, alla fine, non accettano la richiesta e consentono all’autore della minaccia di accedere.
- Attenzione all’OPSEC: Come dimostra la sua più recente ondata di attività, il APT29 continua a dare prova di un notevole impegno nei confronti dell’OPSEC e delle metodologie di sicurezza e elusione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Per noi che abbiamo trascorso gran parte della nostra carriera osservando l’evoluzione di APT29’s , è evidente che questo attore malintenzionato abbia sfruttato al massimo l’accesso alle risorse, alla formazione e agli strumenti di cui dispongono i gruppi di hacker sponsorizzati dallo Stato russo — in particolare quelli che presentano legami inequivocabili con l’apparato di intelligence statale. Il gruppo APT29 ha dimostrato un forte impegno nel potenziare e sviluppare continuamente le proprie competenze tecniche, soprattutto per quanto riguarda il perfezionamento della metodologia utilizzata dal gruppo APT29 per mantenere un livello significativo di OPSEC.”
Si tratta di un gruppo che ha dimostrato di essere pienamente in grado di stare al passo con i progressi tecnologici e, per riprendere una frase tratta dalla rubrica “Outlook” di Mandiant , la CTI “si aspetta che il APT29 continui a stare al passo con lo sviluppo di tecniche e tattiche volte ad accedere a Microsoft 365 in modi innovativi e discreti”.
3. Gli hacker adottano il toolkit Sliver come alternativa a Cobalt Strike
Un 24 agosto Microsoft post sul blog (si apre in una nuova scheda)riporta che è stato osservato come gli autori delle minacce stiano abbandonando la popolare e altamente efficace suite di test di penetrazione Cobalt Strike a favore di framework simili, ma meno noti, quali Brute Ratel (si apre in una nuova scheda) e, più recentemente, il kit open source e multipiattaforma noto come Sliver.
Secondo l’ Microsoft, i suoi ricercatori hanno osservato che il framework di comando e controllo Sliver (C2) viene sempre più spesso utilizzato nelle campagne di intrusione condotte da attori malintenzionati sostenuti da Stati e da organizzazioni criminali specializzate in ransomware ed estorsioni, oltre ad essere impiegato da una serie di altri attori malintenzionati per eludere il rilevamento.
Sliver è stato lanciato per la prima volta nel 2019 e pubblicizzato presso i professionisti della sicurezza. Si tratta di un framework open source, scritto in Go e disponibile all'indirizzo GitHub. Sliver offre diverse funzionalità standard del framework C2 , tra cui il supporto per più utenti simultanei, vari tipi di listener, estensioni create dagli utenti e la generazione di payload. Microsoft afferma di aver osservato che, a partire dal dicembre 2020, alcuni autori di minacce hanno integrato Sliver nei propri kit di strumenti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Cobalt Strike è da tempo uno dei framework preferiti dagli autori di minacce di ogni tipo. Di conseguenza, le strategie di rilevamento adottate dai difensori si sono progressivamente perfezionate e, dato che i metodi di utilizzo da parte dei criminali informatici sono stati documentati in modo esaustivo, non sorprende che un numero crescente di autori di minacce stia passando ad adottare framework di malware diversi, come Sliver. Che questo specifico framework diventi il nuovo punto di riferimento nel campo della criminalità informatica, oppure che tale primato finisca per spettare a qualche altro framework, in definitiva ha poca importanza — a condizione che le organizzazioni si impegnino in modo proattivo nell’elaborazione di procedure operative volte a identificare e prevenire futuri episodi di attività dannose che Sliver e i suoi omologhi potrebbero contribuire a scatenare.”
Desidera scoprire in che modo la soluzione “ Converged Endpoint Management ” (XEM) di Tanium possa contribuire a proteggere la Sua azienda dalle minacce informatiche? Provi oggi stesso Tanium .
Potete inoltre consultare le nostre recenti raccolte di informazioni sulle minacce informatiche " " qui:.
