Per iniziare la rassegna di questa settimana, CTI analizza il gruppo di ransomware 8Base e il suo recente picco di attività. Successivamente, il CTI indaga su Volt Typhoon, un gruppo di minacce persistenti avanzate (APT) legato alla Cina che impiega tecniche innovative per accedere alle reti degli obiettivi. Infine, CTI analizza un nuovo rapporto che rivela come Andariel, un attore malintenzionato sostenuto dalla Corea del Nord, abbia utilizzato lo scorso anno un malware finora sconosciuto in una serie di attacchi informatici che sfruttavano la vulnerabilità Log4j Log4Shell .
Il ransomware 8Base registra un’impennata di attività e minaccia le aziende statunitensi e brasiliane
L’Unità di analisi delle minacce di VMware ha pubblicato la propria analisi (si apre in una nuova scheda) sul gruppo di ransomware 8Base , attribuendo a tale banda un massiccio picco di attività registrato nei mesi di maggio e giugno di quest’anno.
Di seguito sono riportati alcuni punti salienti del rapporto:
- Sembra che 8Base sia la continuazione di un gruppo di ransomware già consolidato, piuttosto che una nuova operazione. Ciò è dovuto alle analogie riscontrate nelle tattiche utilizzate nei recenti attacchi del ransomware 8Base .
- Il gruppo di ransomware 8Base , che si definisce “semplici pen tester”, è attivo dal marzo 2022 , ma solo ha lanciato il proprio sito dedicato alla divulgazione dei dati (si apre in una nuova scheda) nel mese di maggio del 2023. Nel mese di maggio il gruppo ha rapidamente aumentato il numero dei propri attacchi, registrando sul proprio sito dedicato alle fughe di notizie circa 30 vittime per quel mese, rispetto alle meno di cinque del mese precedente.
- La banda di autori di ransomware recentemente scoperta è stata responsabile di circa il 15% di tutti gli attacchi ransomware nel maggio 2023. Per contestualizzare questo dato, il famigerato gruppo LockBit , noto anche come “ ”, è stato responsabile del 18% degli attacchi ransomware avvenuti nello stesso mese.
- Secondo Malwarebytes e il gruppo NCC (si apre in una nuova scheda), il codice 8Base è stato collegato a un totale di 67 attacchi, secondo quanto riportato su maggio 2023. Di questi attacchi, circa il 50% delle vittime apparteneva ai settori dei servizi alle imprese, dell’industria manifatturiera e di quello finanziario.
- Il programma 8Base sembra rivolgersi prevalentemente alle piccole e medie imprese (PMI), con la maggior parte delle vittime situate negli Stati Uniti e in Brasile.
8Base e RansomHouse: qual è il nesso?
VMware ha rilevato notevoli somiglianze tra questa operazione e l’attività criminale informatica denominata RansomHouse. Tuttavia, è importante tenere presente che RansomHouse utilizza diversi tipi di ransomware, tutti disponibili sul dark web. Il gruppo non dispone di un proprio ransomware caratteristico.
I ricercatori hanno individuato una corrispondenza del 99% nelle caratteristiche linguistiche presenti nelle richieste di riscatto diffuse da questi gruppi. Hanno inoltre effettuato un confronto diretto tra i siti di divulgazione di ciascun gruppo, riscontrando ancora una volta che il linguaggio utilizzato era pressoché identico. Inoltre, le pagine di benvenuto, i termini di servizio e le pagine delle domande frequenti di entrambi i siti di divulgazione sono state copiate parola per parola.
Confrontando i due gruppi di minaccia, i ricercatori hanno riscontrato solo due differenze significative. La prima differenza fondamentale è che RansomHouse pubblicizza le proprie collaborazioni e ricerca attivamente nuovi partner, mentre 8Base non lo fa. La seconda differenza fondamentale riguarda la struttura e il design delle pagine dedicate alle fughe di notizie stesse.
Il ransomware 8Base e Phobos
Mentre i ricercatori erano alla ricerca di un campione di ransomware appartenente al gruppo 8Base Ransom, si sono imbattuti in un campione del ransomware Phobos che utilizza l’estensione .8base per i propri file crittografati.
Da un’analisi più approfondita è emerso che la versione 8Base utilizzava Phobos versione 2,9,1 con SmokeLoader integrato. Poiché Phobos opera come un’ di tipo “ransomware-as-a-service” (RaaS) denominat, non sorprende che ciò sia accaduto. Gli autori delle minacce possono personalizzare alcune parti del ransomware in base alle proprie esigenze, come probabilmente è avvenuto in questo caso.
Sebbene la versione 8Base introducesse ulteriori opzioni di personalizzazione con l’estensione .8base , il formato dell’intera porzione aggiunta era identico a quello di Phobos. Comprendeva una sezione dedicata all’identificativo, un indirizzo e-mail e un’estensione del file.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sebbene LockBit e Cl0p sembrino dominare il panorama dei ransomware negli ultimi tempi, 8Base sembra essere pronto a raccogliere la sfida. Infatti, negli ultimi 30 giorni il gruppo è riuscito a sventare le operazioni dei due principali gruppi di ricattatori."
"Purtroppo, non sono disponibili molte informazioni di dominio pubblico riguardo alle metodologie, alle tattiche o alle motivazioni alla base dell’operato del gruppo."
VMware riassume le riflessioni del gruppo:
Al momento possiamo solo ipotizzare che stiano utilizzando diversi tipi di ransomware, sia che si tratti di varianti precedenti sia che facciano parte delle loro normali procedure operative. Quello che sappiamo è che questo gruppo è molto attivo e prende di mira le piccole imprese.
"Sebbene si sappia ancora poco su questo gruppo, finora il 8Base rimane una delle principali operazioni di ransomware attive di questa estate."
2. L'APT Volt Typhoon, collegata alla Cina, utilizza tecniche innovative per accedere alle reti degli obiettivi
I ricercatori di CrowdStrike affermano di aver osservato il gruppo di minacce persistenti avanzate (APT) legato alla Cina, identificato con i nomi “ ” e “Volt Typhoon” (si apre in una nuova scheda) , mentre utilizzava tecniche operative innovative per ottenere l’accesso iniziale alle reti bersaglio.
Il team MDR (Managed Detection and Response) Falcon Complete di CrowdStrike cita un recente incidente legato a Volt Typhoon a cui il team ha reagito, a seguito di un rilevamento innescato da comandi di ricognizione sospetti.
Che cos’è Volt Typhoon?
Volt Typhoon è un attore malintenzionato sostenuto dallo Stato con sede in Cina. Questo gruppo APT avanzato si dedica tipicamente al cyberspionaggio e alla raccolta di informazioni a sostegno di esigenze di intelligence (IR) che sono in linea con gli interessi dello Stato cinese.
I primi rapporti disponibili al pubblico su tale attore evidenziano l’uso praticamente esclusivo, da parte di Volt Typhoon, di tecniche “living-off-the-land” (LotL) e il ricorso frequente all’attività “hands-on-keyboard” nel tentativo di eludere il rilevamento ogni volta che ciò sia possibile.
Secondo quanto riferito, Volt Typhoon è attivo dalla metà del 2021. Si rivolge a soggetti operanti in un’ampia gamma di settori critici, tra cui quello governativo, marittimo, delle comunicazioni, manifatturiero, delle tecnologie dell’informazione, dei servizi pubblici, dei trasporti, dell’edilizia e dell’istruzione.
Un rapporto pubblicato dall’ Microsoft (CERT), in collaborazione con diverse agenzie multinazionali specializzate in sicurezza informatica, afferma che le recenti campagne di spionaggio informatico condotte dall’ a Volt Typhoon (si apre in una nuova scheda) consistono in attacchi furtivi e mirati, che secondo il Microsoft sono «incentrati sull’accesso alle credenziali dopo la compromissione e sull’individuazione dei sistemi di rete, con l’obiettivo di colpire le organizzazioni che gestiscono infrastrutture critiche negli Stati Uniti».
Le ultime operazioni di Volt Typhoon
Volt Typhoon è stato recentemente individuato mentre utilizzava le vulnerabilità ManageEngine Self-service Plus (si apre in una nuova scheda) per ottenere l’accesso iniziale; successivamente, gli autori degli attacchi ricorrevano a webshell personalizzate per facilitare l’accesso persistente e a tecniche LotL per consentire il movimento laterale.
Il team Falcon Complete di CrowdStrike, in collaborazione con il team Falcon OverWatch dell’azienda, specializzato nella ricerca delle minacce, ha reagito a un allarme generato da comandi di ricognizione sospetti eseguiti su un server web Tomcat Apache su cui era in esecuzione ManageEngine ADSelfService Plus.
Da CrowdStrike:
L’attività dannosa descritta in dettaglio nel rilevamento comprendeva l’elenco dei processi, i test di connettività di rete, la raccolta di informazioni su utenti e gruppi, il montaggio di condivisioni, l’enumerazione dei rapporti di fiducia tra domini tramite WMI e l’elenco delle zone DNS tramite WMI. Le azioni di VANGUARD PANDA [di seguito denominato Volt Typhoon – Tanium CTI] hanno evidenziato una buona conoscenza dell’ambiente di destinazione, come dimostrato dalla rapida successione dei comandi impartiti, nonché dalla presenza di nomi host interni specifici e indirizzi IP da sottoporre a ping, condivisioni remote da montare e credenziali in chiaro da utilizzare per WMI.
Nel corso dell’indagine condotta a seguito della segnalazione da parte di CrowdStrike relativa all’attività di ricognizione, il team di risposta agli incidenti ha prontamente circoscritto l’host compromesso, isolandolo efficacemente e impedendo all’autore dell’attacco di interagire ulteriormente con esso.
Sono state osservate ulteriori tecniche operative
Sebbene nel corso di questo incidente siano state osservate tutte le tattiche, le tecniche e le procedure (TTP) associate allo sfruttamento di CVE-2021-40593 (si apre in una nuova scheda), mancavano le tracce di log previste che avrebbero confermato in modo definitivo lo sfruttamento da parte degli aggressori di questa specifica vulnerabilità CVE .
Ciò potrebbe costituire una prova degli sforzi compiuti da Volt Typhoon per evitare di essere individuato e impedire qualsiasi analisi a posteriori della propria attività.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«CTI nutre un interesse costante nei confronti di Volt Typhoon ed è sempre alla ricerca di informazioni attendibili che descrivano in dettaglio gli sviluppi e i miglioramenti apportati alla metodologia e alle TTP di tale attore.»
"L'analisi condotta da CrowdStrike sulle TTP di Volt Typhoon, mai documentate in precedenza, costituisce un'informazione preziosa e utilizzabile che può essere impiegata per difendere le organizzazioni da questa minaccia e da quelle che ricorrono a tattiche simili."
3. Il gruppo di hacker nordcoreano Andariel sferra un attacco con il nuovo malware EarlyRat
Un nuovo rapporto pubblicato sul blog SecureList di Kaspersky rivela che l’attore malintenzionato sostenuto dalla Corea del Nord, identificato come “ ” e “Andariel” , abbia distribuito lo scorso anno un malware finora sconosciuto — denominato EarlyRat — nel corso di attacchi informatici che sfruttavano la vulnerabilità Log4j Log4Shell .
I ricercatori di SecureList si sono imbattuti nella campagna nel corso di una recente indagine e, dopo ulteriori analisi, hanno scoperto sia la suddetta famiglia di malware non documentata, sia alcune novità nell’insieme delle tattiche, tecniche e procedure (TTP) di Andariel.
Uno sguardo più approfondito ad Andariel
Si ritiene che Andariel, noto anche come Silent Chollima e Stonefly, sia un sottogruppo del famigerato gruppo nordcoreano Lazarus, un attore APT (Advanced Persistent Threat) che opera nell’ambito del .
Oltre a condurre operazioni di spionaggio informatico rivolte contro enti governativi e militari stranieri di interesse strategico per la Corea del Nord, Andariel conduce campagne di criminalità informatica (si apre in una nuova scheda) al fine di generare entrate e sostenere l’economia in difficoltà e le operazioni militari di questa nazione, spesso oggetto di sanzioni.
Come descritto in un articolo sull’argomento pubblicato da The Hacker News, tra le armi principali dell’arsenale di Andariel figurano una variante di ransomware denominata , Maui (si apre in una nuova scheda) e numerosi trojan di accesso remoto e backdoor quali Dtrack (Valefor e Preft), NukeSped (si apre in una nuova scheda) (Manuscrypt), MagicRAT (si apre in una nuova scheda) e YamaBot. (si apre in una nuova scheda)
Lo sfruttamento della vulnerabilità Log4Shell da parte dell’autore dell’attacco era già stato documentato dall’AhnLab Security Emergency Response Center (ASEC (si apre in una nuova scheda)) e da Cisco Talos (si apre in una nuova scheda) in risposta agli attacchi sferrati contro server VMware Horizon privi di patch nel 2022.
Attività recentemente documentata
Secondo il rapporto di SecureList, è stato osservato che Andariel ha nuovamente infettato i computer eseguendo un exploit ( Log4j ), il che ha comportato anche il download di ulteriore malware dal server di comando e controllo (C2).
Sebbene i ricercatori di Kaspersky non siano riusciti a individuare il primo malware scaricato dall’autore dell’attacco, hanno potuto constatare che lo sfruttamento della vulnerabilità è stato seguito a breve distanza dal download della backdoor DTrack del gruppo.
I ricercatori di Kaspersky sono riusciti a riprodurre i comandi eseguiti dagli autori dell’attacco, il che ha immediatamente chiarito che tali comandi venivano impartiti da un operatore umano — come dimostrano i numerosi errori e refusi da loro rilevati.
Utilizzo di strumenti già disponibili sul mercato
I ricercatori di Kaspersky sono inoltre riusciti a identificare la gamma di strumenti disponibili in commercio installati e utilizzati dagli operatori di Andariel durante la fase di esecuzione dei comandi; tali strumenti sono stati successivamente impiegati anche per un ulteriore sfruttamento del bersaglio.
Di seguito sono riportati alcuni esempi:
- Supremo - Desktop remoto
- 3Proxy
- Powerline
- Stucco
- Dumpert
- NTDSDumpEx
- ForkDump
EarlyRat: Un'introduzione
Come indicato nel rapporto SecureList, i ricercatori di Kaspersky hanno individuato per la prima volta una versione di EarlyRat nel corso delle indagini su uno dei Log4j incidenti attribuiti ad Andariel.
All’epoca si ipotizzò che il malware fosse stato scaricato tramite Log4j. Tuttavia, la ricerca di ulteriori campioni ha portato alla scoperta di documenti di phishing, il cui scopo finale era quello di installare EarlyRat sui dispositivi compromessi.
Ciò che è interessante è che le e-mail di phishing incluse nella campagna non sono particolarmente sofisticate. Inoltre, i documenti utilizzati per il phishing richiedono anche che i destinatari abilitino le macro; ciò è degno di nota poiché molti criminali informatici sono passati ad altre opzioni, quali i file XLL, le immagini ISO e i file MSI , dopo che Microsoft ha bloccato per impostazione predefinita le macro in diverse applicazioni di Office lo scorso anno.
Funzionalità
Per quanto riguarda le funzionalità di EarlyRat, il malware è piuttosto semplice. È in grado di eseguire comandi — e a quanto pare questo è più o meno tutto ciò che c’è di interessante in questo dispositivo.
Come molti trojan di accesso remoto (RAT), EarlyRat è progettato per iniziare a raccogliere informazioni sul sistema sin dal suo avvio.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sebbene EarlyRat non sia forse il malware più sofisticato, il Gruppo Lazarus e le sue componenti secondarie rivestono grande interesse per la CTI e meritano un attento monitoraggio. "La capacità di questi gruppi di condurre operazioni di spionaggio informatico e, al contempo, campagne di criminalità informatica a scopo di lucro li rende una minaccia più complessa e sfaccettata."
"CTI presta attenzione ogni volta che veniamo a conoscenza di nuove TTP o di malware utilizzati da Lazarus e dai suoi affiliati, poiché si tratta di un attore malintenzionato che impiega un’ampia varietà di strumenti (molti dei quali personalizzati), aggiorna costantemente il malware esistente e spesso sviluppa nuovi malware e metodi per la loro diffusione."
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
