Nella rassegna di questa settimana, CTI illustra le ultime attività degli operatori del ransomware BlackCat, compresi i recenti aggiornamenti dei loro strumenti. In seguito, CTI analizza due attori di minaccia statali nordcoreani appartenenti al Gruppo Lazarus e il loro recente attacco ai danni di CVE-2023-42793. Il rapporto CTI si conclude con un'analisi dettagliata delle nuove tecniche utilizzate dagli autori delle minacce per compromettere i Mac, spingendo Apple a potenziare le proprie difese e a migliorare la protezione antimalware integrata.
1. Gli operatori di BlackCat presentano l’utilità Munchkin
Gli autori del ransomware BlackCat, presenti su , (si apre in una nuova scheda),e , hanno recentemente annunciato alcuni aggiornamenti ai propri strumenti, tra cui un’utilità denominata Munchkin che consente agli autori delle minacce di diffondere il payload di BlackCat su macchine remote e condivisioni all’interno delle reti.
Un’istanza di Munchkin, acquisita di recente, è stata caricata in una macchina virtuale Alpine personalizzata, il che consente all’autore dell’attacco di utilizzare macchine virtuali (VM) per aggirare le soluzioni di sicurezza.
Informazioni sul ransomware BlackCat
BlackCat opera come un servizio di ransomware (RaaS), che consente agli affiliati di avvalersi dei propri strumenti in cambio di una quota dei profitti. Sebbene in passato il gruppo si concentrasse sulle vittime presenti negli Stati Uniti, nel corso degli anni ha ampliato il proprio raggio d’azione e si è evoluto per sfruttare ulteriori capacità e meccanismi di occultamento.
BlackCat si è storicamente concentrata sulle vittime presenti negli Stati Uniti. Tuttavia, questa famiglia di malware ha recentemente ampliato il proprio raggio d’azione a causa della crescente popolarità. Nel corso degli anni, questa famiglia di malware ha continuato a evolversi per sfruttare funzionalità aggiuntive e meccanismi di offuscamento.
BlackCat presenta l’utilità Munchkin
Il gruppo ha recentemente presentato un nuovo strumento denominato Munchkin, che fornisce un sistema operativo basato su Linuxe che integra Sphynx, l’ultima variante di BlackCat. Gli operatori possono utilizzare l’utilità Munchkin per eseguire BlackCat su macchine remote o per crittografare le risorse remote SMB/CIFS.
- La nuova utility Munchkin di BlackCat viene distribuita alle vittime sotto forma di file “ ISO ”, che viene caricato in un’istanza appena installata del prodotto di virtualizzazione VirtualBox .
- Il file ` ISO ` rappresenta un'implementazione personalizzata del sistema operativo Alpine. È probabile che l’autore dell’attacco abbia scelto questa soluzione per via del suo ingombro ridotto. Durante l'esecuzione del sistema operativo, vengono eseguiti diversi comandi che consentono al malware di modificare la password di root della macchina virtuale.
- Successivamente, genera una nuova sessione terminale tramite l’utilità tmux integrata, che viene utilizzata per eseguire il file binario del malware denominato “controller”, dopodiché spegne la macchina virtuale.
- Il malware di controllo è ospitato nella directory /App , insieme a numerosi altri file correlati. Tra i file degni di nota figurano /App/controller, /App/config e /App/payload. Sono presenti anche diversi altri script Python che possono essere utilizzati negli aggiornamenti successivi all’interno della macchina virtuale. Molti di questi script possono essere utilizzati per il movimento laterale, l’estrazione delle password e l’ulteriore esecuzione di malware.
Malware di controllo
Il malware di controllo è scritto in Rust, con uno stile molto simile a quello della famiglia di malware BlackCat.
Una volta eseguito, decifrerà diverse stringhe tramite un’operazione XOR unica a un byte. Successivamente, esegue alcuni controlli di base per verificare che i file di configurazione e di payload previsti si trovino nella directory /App . Se confermato, procederà all'analisi del file di configurazione. In caso contrario, il programma terminerà con un messaggio di errore.
Il file di configurazione /App/ contiene informazioni quali token di accesso, identificatori delle attività, credenziali delle vittime, URL delle vittime di BlackCat, tipi di file e percorsi inseriti nella lista di blocco, nonché host e condivisioni da sottoporre a crittografia. Verrà quindi creata e montata la directory /payloads/, utilizzata per ospitare le istanze di BlackCat. Il controller utilizzerà il file /App/payload come modello per creare campioni personalizzati di BlackCat. All’interno del file modello sono presenti diversi marcatori specifici che il controller cercherà e utilizzerà per modificare il file.
I file creati vengono denominati con valori incrementali nel formato /payloads/0. Una volta creati i payload, il malware esaminerà la configurazione fornita con l’intento di infettare tutte le unità SMB/CIFS specificate. Una volta che il malware avrà completato l'esecuzione, la macchina virtuale si spegnerà e non effettuerà alcuna azione ulteriore.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
BlackCat è rimasto per un periodo piuttosto lungo una delle operazioni di ransomware più attive. L’introduzione costante di nuove funzionalità e strumenti da parte dell’azienda, come l’ultima utility Munchkin, contribuisce chiaramente al suo continuo successo.
La più recente tattica che consiste nell’utilizzare una macchina virtuale personalizzata per distribuire il proprio malware sta gradualmente guadagnando popolarità tra gli autori delle minacce ed è un fenomeno che potremmo vedere diffondersi maggiormente nel prossimo futuro.
2. Gli autori del gruppo nordcoreano Lazarus sfruttano una vulnerabilità di JetBrains TeamCity
Secondo Microsoft, due attori malintenzionati nordcoreani appartenenti al Gruppo Lazarus stanno sfruttando CVE-2023-42793 (si apre in una nuova scheda). La vulnerabilità relativa all’esecuzione di codice da remoto interessa diverse versioni del server JetBrains TeamCity, un’applicazione di integrazione continua e distribuzione continua (CI/CD).
È probabile che gli autori delle minacce stiano sfruttando questa vulnerabilità per distribuire malware di tipo backdoor e sferrare attacchi alla catena di approvvigionamento del software.
Diamond Sleet e Onyx Sleet
I due autori delle minacce individuati da Microsoft sono Diamond Sleet e Onyx Sleet (noti anche come Andariel). Entrambi fanno parte del famigerato attore statale noto come “gruppo Lazarus”.
- Diamond Sleet prende di mira in genere aziende operanti nei settori dei media, dei servizi IT e della difesa a livello globale e, più recentemente, è stato osservato mentre prendeva di mira i ricercatori nel campo della sicurezza. Il gruppo ha inoltre già messo in atto in passato attacchi simili a quelli rivolti alla catena di approvvigionamento del software.
- Onyx Sleet prende di mira principalmente le organizzazioni operanti nei settori della difesa e dei servizi IT con sede in Corea del Sud, negli Stati Uniti e in India. Essi si avvalgono di un’ampia gamma di strumenti per garantire la persistenza e sfruttano spesso vulnerabilità “N-day” per ottenere l’accesso iniziale.
Percorso di attacco 1: Grandine di diamanti
L'attacco ha inizio con la compromissione dei server TeamCity tramite la vulnerabilità CVE-2023-42793 .
A seguito dell’attacco, Diamond Sleet ha sfruttato l’ PowerShell per scaricare ulteriori payload da infrastrutture legittime che erano state precedentemente compromesse. Tali payload sono memorizzati nella directory C:\ProgramData con i nomi Forest64.exe e 4800-84DC-063A6A41C5C; il primo verificherà la presenza del secondo.
Il contenuto decriptato del file 4800-84DC-063A6A41C5C costituisce il file di configurazione del malware ForestTiger. Il file Forest64.exe creerà attività pianificate da eseguire all’avvio del sistema per garantire la persistenza. Inoltre, sfrutterà la backdoor ForestTiger per estrarre le credenziali tramite LSASS.
Attack path 2: Diamond sleet
Lo stesso autore dell’attacco sta inoltre distribuendo payload da utilizzare in attacchi di dirottamento dell’ordine di ricerca delle DLL, dopo aver sfruttato la vulnerabilità CVE-2023-42793 . A tal fine, si avvalgono di PowerShell per scaricare DLL dannose dalla propria infrastruttura. Questa DLL viene distribuita insieme a un eseguibile legittimo.
Quando il file Version.dll viene caricato dal programma legittimo clip.exe, esso carica e decrittografa il contenuto di un file readme.md scaricato dall’infrastruttura dell’autore della minaccia. Questo file contiene i dati necessari per decriptare il codice indipendente dalla posizione incorporato nel file Version.dll, avviando così la fase finale del RAT. L'eseguibile di seconda fase decrittografa un file di configurazione contenente gli URL che il malware utilizzerà per C2. Ancora una volta, Microsoft ha rilevato che l’autore dell’attacco stava scaricando credenziali tramite LSASS.
Attack path 3: Diamond sleet
Il terzo percorso di attacco osservato è messo in atto da Onyx Sleet. Inoltre, tutto ha inizio con lo sfruttamento riuscito della vulnerabilità CVE-2023-42793 .
In questo esempio, l'autore dell'attacco crea un nuovo account utente sui sistemi compromessi denominato "krtbgt", che viene probabilmente utilizzato per impersonare l'account legittimo KRBTGT Windows . Tale account viene quindi aggiunto al gruppo "Amministratori locali" tramite il comando "net use". Onyx Sleet distribuisce un payload unico che viene scaricato dalla propria infrastruttura in una delle seguenti posizioni: C:\Windows\Temp\temp.exe oppure C:\Windows\ADFS\bg\inetmgr.exe. Il payload decrittograferà una risorsa PE incorporata, che verrà quindi caricata in memoria ed eseguita. Il payload interno è uno strumento di tipo “ proxy ” utilizzato per garantire la persistenza ed è stato identificato come HazyLoad.
È stato inoltre osservato che questo autore della minaccia utilizza l’account “krtbgt” da lui creato per accedere al dispositivo compromesso tramite RDP, arrestando il servizio TeamCity, estraendo le credenziali tramite LSASS e installando strumenti per recuperare le credenziali memorizzate nei browser.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Microsoft sta osservando questa attività dall’inizio di ottobre, nonostante il mese scorso sia stata rilasciata una correzione per questa vulnerabilità di TeamCity — il che evidenzia il fatto che esistono ancora istanze vulnerabili che non sono state ancora aggiornate.
I due autori delle minacce individuati nel corso di questa attività sono entrambi affiliati al Gruppo Lazarus, ma, dopo aver sfruttato la vulnerabilità CVE-2023-42793 per raggiungere i propri obiettivi, hanno utilizzato set di strumenti e percorsi di attacco diversi.
Il Gruppo Lazarus e tutti i suoi cluster affiliati rappresentano una minaccia sofisticata e sono in grado di sferrare attacchi devastanti. Le loro tattiche, tecniche e procedure (TTP) stanno cambiando rapidamente ad ogni attacco; è quindi fondamentale essere al corrente delle loro attività più recenti e assicurarsi di disporre di adeguati meccanismi di rilevamento.
3. Gli autori delle minacce prendono di mira macOS con tecniche sempre più sofisticate
Il 2023 ha introdotto diversi nuovi metodi per compromettere i Mac. Di conseguenza, Apple sta potenziando le proprie difese e aggiungendo continuamente nuove regole al proprio strumento antimalware XProtect.
Un nuovo rapporto di SentinelOne mette in evidenza alcuni dei principali malware per macOS (si apre in una nuova scheda) recentemente individuati e illustra in dettaglio come gli autori delle minacce si stiano adattando e adeguando per riuscire a compromettere i dispositivi macOS.
La persistenza non rappresenta più una priorità per gli autori di attacchi di furto di informazioni
Quest'anno si è registrato un aumento delle famiglie di malware per macOS che evitano deliberatamente la persistenza. Questa è una caratteristica tipica degli infostealer, poiché tendono a raggiungere il proprio obiettivo in un’unica esecuzione.
Considerata la redditività che i dati rubati possono garantire agli autori delle minacce, questi ultimi in genere non hanno alcuna necessità di mantenere una presenza persistente sul dispositivo. I dati sottratti spesso forniscono agli autori delle minacce ciò di cui hanno bisogno per ottenere un ulteriore accesso e compromettere i sistemi.
In aumento: l’ingegneria sociale mirata
Gli autori delle minacce stanno ora ricorrendo a tecniche di ingegneria sociale sempre più sofisticate, in particolare negli incidenti che coinvolgono macOS.
Ad esempio, alcuni malware per macOS, quali , RustBucket (si apre in una nuova scheda),e , inducono le vittime ad aprire un documento “riservato” e a scaricare un visualizzatore di PDF che esegue il malware in background. RustBucket richiede agli utenti di aggirare i meccanismi di sicurezza di macOS di Apple.
I ricercatori hanno inoltre osservato la presenza di malware meno sofisticato rivolto alle piccole imprese. La campagna MetaStealer su macOS ha preso di mira le proprie vittime utilizzando esche di ingegneria sociale quali “termini di riferimento pubblicitari” e “Brief_Presentation-Task_Overview”. I file erano immagini disco contenenti malware di tipo "infostealer" camuffato da documenti PDF.
Maggiore utilizzo di strumenti di sicurezza offensivi di dominio pubblico
È prassi comune che gli autori delle minacce utilizzino strumenti di sicurezza offensiva per i sistemi di tipo “ Windows ”, come dimostra il caso di Cobalt Strike. La stessa tendenza sta iniziando a manifestarsi ora anche nel mondo del malware per macOS. Ad esempio, progetti quali , Geacon (si apre in una nuova scheda),e integrano le funzionalità di Cobalt Strike in payload basati su Go. Molti sono stati individuati incorporati in versioni contraffatte di applicazioni aziendali come SecureLink, che trasmettono segnali verso il C2s.
Nelle recenti campagne rivolte a macOS sono stati rilevati anche lo strumento open source per il red teaming Mythic e vari payload, come Poseidon. Questi funzionano come un modulo di implanto e una suite di amministrazione C2 , in modo molto simile a Cobalt Strike. Poseidon integra funzionalità di offuscamento e comunicazioni crittografate, fornendo agli autori delle minacce un potente set di strumenti.
SentinelOne sottolinea che il servizio di blocco del malware di Apple, XProtect, non dispone ancora di una firma per i payload Poseidon di Detect , rendendo necessarie ulteriori misure di sicurezza.
Vivere dei frutti del frutteto
Le tecniche “Living-off-the-land” (LOLbin) sono state storicamente impiegate in attacchi mirati ad altri payload. Tuttavia, su macOS si sta diffondendo sempre più la consapevolezza dell’esistenza di queste tecniche, talvolta definite “living-off-the-orchard” (LOOBins).
Tra gli strumenti integrati più comunemente utilizzati figurano:
- System_profiler per la raccolta di dati relativi alle installazioni locali
- Sw_vers per il rilevamento della versione e del build del sistema operativo
- Curl per il download e l’esfiltrazione dei dati
Una delle famiglie di malware più diffuse rilevate nel 2023 e nel corso degli ultimi anni è quella denominata “ ” Adload (si apre in una nuova scheda), che utilizza una combinazione di LOLBins.
L'uso improprio del software open source per la compromissione iniziale
JokerSpy (si apre in una nuova scheda) : questo malware è emerso durante l’estate e contiene diversi componenti, tra cui due backdoor in Python, lo strumento di red teaming SwiftBelt e un file Mach-O basato su Swift che tenta di mascherarsi da servizio XProtect di Apple. I ricercatori ritengono che alcuni di questi attacchi abbiano avuto origine da un generatore di codici QR infettato da un trojan, noto come QRLog.
Protezione dei payload mediante malware modulare a più livelli
Uno degli attacchi alla catena di approvvigionamento più complessi dell’anno ha compromesso le aziende a valle mediante una manomissione dolosa del client 3CXDesktopApp del software di instradamento delle chiamate 3CX’s . Per quanto riguarda la parte relativa a macOS della catena di infezione, sono state individuate varie fasi iniziali e intermedie del malware, ma il vero payload della fase finale rimane sconosciuto. Le fasi note del malware erano state chiaramente progettate per garantire la furtività e si basavano sull’esecuzione, da parte degli utenti, dell’applicazione infettata dal trojan per garantire la persistenza. Ha raccolto dati limitati relativi all’account 3CX dell’host prima di inviare tali informazioni all’autore della minaccia e di autoeliminarsi.
Analogamente, l’attacco “ ” JumpCloud (si apre in una nuova scheda) descritto in luglio 2023 si è articolato in diverse fasi per garantire la furtività e proteggere i payload delle fasi finali. Entrambe le campagne sono state attribuite ad attori malintenzionati legati alla Repubblica Popolare Democratica di Corea, con particolare attenzione agli attacchi alla catena di approvvigionamento.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'analisi di SentinelOne mette in luce come gli autori delle minacce stiano prendendo sempre più di mira il sistema operativo macOS. A quanto pare, il team di sicurezza di Apple si sta adoperando per migliorare le proprie iniziative volte a Detect il malware che prende di mira la propria piattaforma, ma i progressi sono stati lenti.
Un esempio di ciò è rappresentato dal malware per macOS denominato “Atomic Stealer”, segnalato per la prima volta nel mese di maggio. Apple ha appena aggiunto a XProtect le regole relative ad Atomic Stealer nel mese di ottobre. Questo esempio evidenzia l'importanza di individuare tempestivamente le minacce emergenti e di proteggersi da esse.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
