Nella rassegna di questa settimana analizziamo un avviso congiunto sulla sicurezza informatica che evidenzia il ricorso all’ingegneria sociale e all’usurpazione d’identità da parte di attori di minacce informatiche sponsorizzati dallo Stato e legati al governo nordcoreano. Successivamente, CTI fornisce una panoramica di un rapporto riguardante la doppia identità di un attore malintenzionato noto come Asylum Ambuscade, che si colloca a cavallo tra la criminalità informatica e lo spionaggio informatico. Infine, CTI analizza in modo approfondito un rapporto sugli autori delle minacce associati al ransomware Cyclops e alla sua nuova funzionalità di furto di informazioni.
1. Washington e Seul smascherano le spie informatiche nordcoreane di Kimsuky
Un avviso congiunto in materia di sicurezza informatica emesso da “ 1 giugno ” mette in evidenza il ricorso all’ingegneria sociale e all’usurpazione d’identità da parte di Kimsuky (noto anche come TA406 e Thallium) — un gruppo di minaccia persistente avanzata (APT) sponsorizzato dallo Stato e legato alla Repubblica Popolare Democratica di Corea. Il rapporto è stato redatto dall’FBI (Federal Bureau of Investigation), dal Dipartimento di Stato degli Stati Uniti e dalla NSA (National Security Agency), in collaborazione con il Servizio Nazionale di Intelligence (NIS), l’Agenzia Nazionale di Polizia (NPA) e il Ministero degli Affari Esteri (MOFA) della Repubblica di Corea (ROK).
Secondo quanto riferito, tale attività dolosa è finalizzata allo sfruttamento delle reti informatiche (CNE) e prende di mira persone che lavorano presso centri di ricerca, think tank, istituzioni accademiche e testate giornalistiche in tutto il mondo.
Lo scopo principale dell’avviso congiunto è quello di mettere in evidenza la metodologia utilizzata da Kimsuky negli attacchi informatici — in particolare il ricorso all’ingegneria sociale e all’usurpazione d’identità. Le agenzie ritengono che rendere note le tattiche, le tecniche e le procedure (TTP) di uno dei gruppi APT più attivi ed efficaci della Repubblica Popolare Democratica di Corea contribuirà a sensibilizzare l’opinione pubblica sulle loro campagne e aiuterà i potenziali bersagli ad adottare misure di sicurezza informatica di base.
Cosa occorre sapere su Kimsuky
Attiva dal 2012, Kimsuky si rivolge principalmente a diplomatici, organizzazioni non governative, centri di ricerca ed esperti su tematiche relative alla penisola coreana.
Da The Record: (si apre in una nuova scheda)
Secondo le agenzie di intelligence e i ricercatori nel campo della sicurezza informatica, il gruppo sarebbe controllato dall’organizzazione di intelligence militare della Corea del Nord, l’Ufficio Generale di Ricognizione (RGB), che è stata sottoposta a sanzioni da parte del Consiglio di Sicurezza delle Nazioni Unite.
Come spiega la nuova nota informativa congiunta, Kimsuky svolge un ruolo di primo piano nel programma informatico della Repubblica Popolare Democratica di Corea, fornendo al regime una parte consistente delle sue attività di raccolta di informazioni su ampia scala e rendendo possibile una parte significativa delle capacità di spionaggio della Repubblica Popolare Democratica di Corea.
Le agenzie alleate di sicurezza informatica responsabili della redazione congiunta dell’avviso — e i governi che esse servono — ritengono che «gli obiettivi primari del programma informatico del regime della Repubblica Popolare Democratica di Corea (RPDC) includano il mantenimento di un accesso costante alle informazioni di intelligence aggiornate sugli Stati Uniti, sulla Corea del Sud e su altri paesi di interesse, al fine di contrastare qualsiasi minaccia politica, militare o economica alla sicurezza e alla stabilità del regime».
Secondo la nota informativa congiunta, Kimsuky è subordinata dal punto di vista amministrativo a un’unità facente parte dell’RGB della Corea del Nord, e i suoi compiti nell’ambito di tale ruolo comprendono la conduzione di campagne informatiche su ampia scala a sostegno di vari obiettivi dell’RGB e la raccolta di dati a sostegno delle esigenze di intelligence (IR) dell’RGB almeno dal 2012. Tutte le attività sono svolte al servizio della missione primaria e fondamentale di Kimsuky: fornire al regime nordcoreano dati sottratti e preziose informazioni geopolitiche.
In che modo Kimsuky ricorre all’ingegneria sociale e allo spear phishing
Gli attacchi di phishing di tipo “ ” rappresentano il mezzo principale utilizzato dall’autore per facilitare l’ingresso iniziale nella rete bersaglio e ottenere l’accesso alle risorse e ai dispositivi della vittima.
Gli operatori di Kimsuky hanno dedicato oltre un decennio a perfezionare l’arte di creare comunicazioni fraudolente, con ogni messaggio studiato appositamente per attirare – e ingannare – il destinatario previsto e indurlo a compiere inconsapevolmente un’azione che ne comprometta la sicurezza.
Dal comunicato congiunto:
Una campagna di spear-phishing condotta da Kimsuky ha inizio con un’ampia fase di ricerca e preparazione. Gli autori di attacchi informatici della Repubblica Popolare Democratica di Corea utilizzano spesso informazioni di dominio pubblico per individuare potenziali obiettivi di valore e, successivamente, adattano le proprie identità online in modo da apparire più realistici e attraenti agli occhi delle vittime.
Gli operatori di Kimsuky non esiteranno a ricorrere a misure estreme per conferire autenticità a un attacco di spear-phishing. Ad esempio, gli autori degli attacchi Kimsuky creano indirizzi e-mail destinati ad assomigliare il più possibile a quelli delle persone reali di cui intendono assumere l’identità; registrano inoltre domini dall’aspetto autentico il cui unico scopo è quello di ospitare il contenuto dannoso di un messaggio di spear-phishing. Gli attori della Repubblica Popolare Democratica di Corea utilizzano spesso domini che, a prima vista, assomigliano molto a servizi Internet comuni e a siti di informazione, al fine di ingannare più efficacemente i propri bersagli.
Altre tattiche di spear-phishing degne di nota
Gli autori degli attacchi Kimsuky spesso si spacciano per testate giornalistiche e giornalisti di fama, utilizzando domini ottenuti tramite “typo-squatting” per inviare e-mail di spear-phishing da indirizzi che assomigliano molto a quelli di fonti legittime.
Gli autori di attacchi informatici della Repubblica Popolare Democratica di Corea assumono spesso l’identità di persone reali per conquistare la fiducia e instaurare un rapporto di confidenza nelle loro comunicazioni digitali. Spesso compromettono gli account di posta elettronica di persone reali, effettuando ricerche sulle comunicazioni legittime presenti nella casella di posta compromessa per apparire più convincenti nel caso in cui l’autore dell’attacco decida di inserirsi in una conversazione già in corso. L’analisi approfondita della casella di posta elettronica della vittima dell’usurpazione d’identità consente inoltre all’autore dell’attacco di individuare nuovi bersagli, raccogliendo al contempo informazioni preziose quali elenchi di contatti, gruppi sui social network, ecc. L’attore della Corea del Nord può inoltre sfruttare la firma e-mail della vittima per creare messaggi di spear-phishing più convincenti.
Dal comunicato congiunto:
“È inoltre noto che gli autori di attacchi informatici della Repubblica Popolare Democratica di Corea compromettono account di posta elettronica appartenenti a esperti di politica estera e, successivamente, creano un account di posta elettronica secondario, utilizzando l’account e l’identità dell’esperto per comunicare con altri obiettivi di rilievo.
Anche gli autori degli attacchi Kimsuky utilizzano più identità per coinvolgere un unico bersaglio, ricorrendo spesso a identità secondarie per confermare la validità dell’impersonificazione principale. L'inoltro di messaggi provenienti da fonti attendibili è una tattica simile a quella osservata presso gli attori della Repubblica Popolare Democratica di Corea.
Sebbene alcune e-mail iniziali di spear-phishing possano contenere un link o un documento dannoso (solitamente protetto da password per eludere le misure di sicurezza della posta elettronica), è molto più comune che l’e-mail iniziale non contenga alcun contenuto dannoso, poiché il suo scopo è quello di instaurare un rapporto — e, cosa ancora più importante, di conquistare la fiducia del destinatario.
Una volta stabilito con successo un contatto con un bersaglio, gli attori della Corea del Nord procedono a compromettere l’account, il dispositivo o la rete del bersaglio inviando contenuti dannosi — spesso sotto forma di una macro dannosa incorporata in un documento di testo. Secondo l’avviso congiunto, il presente documento è allegato direttamente all’e-mail oppure archiviato in un servizio di hosting di file come Google Drive o Microsoft OneDrive. Queste macro dannose, una volta attivate, stabiliscono in modo invisibile connessioni con l’infrastruttura di comando e controllo (C2) di Kimsuky, con l’obiettivo di ottenere l’accesso al dispositivo della vittima.
In alcuni casi, gli autori degli attacchi Kimsuky realizzano versioni fraudolente — sebbene estremamente convincenti — di siti web, portali o applicazioni reali, al fine di sottrarre credenziali.
Dal comunicato congiunto:
La compromissione di un account bersaglio può comportare un accesso persistente alle comunicazioni della vittima, spesso tramite un malware utilizzato dagli autori dell’attacco Kimsuky denominato BabyShark. È noto inoltre che gli autori dell’attacco Kimsuky configurino l’account di posta elettronica della vittima in modo da inoltrare automaticamente e in modo invisibile tutte le e-mail a un altro indirizzo controllato dagli autori dell’attacco.
Gli autori delle minacce spesso si spacciano per giornalisti, studiosi universitari e ricercatori di think tank, prendendoli di mira con tattiche di ingegneria sociale. Le comunicazioni provenienti da tali casi di usurpazione d’identità vengono spesso utilizzate per sollecitare risposte a richieste relative alla politica estera, condurre sondaggi, richiedere interviste, esaminare documenti, richiedere curriculum vitae e offrire compensi per la redazione di articoli di ricerca.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Le informazioni riservate prese di mira per essere sottratte e sfruttate da attori sostenuti dallo Stato della Repubblica Popolare Democratica di Corea, come Kimsuky, variano notevolmente da una campagna all’altra.» Ad esempio, secondo una dichiarazione rilasciata dal ministero sudcoreano, Kimsuky sarebbe stata coinvolta, direttamente o indirettamente, nello sviluppo satellitare della Corea del Nord «sottraendo tecnologie all’avanguardia nel campo dello sviluppo di armi, dei satelliti e dello spazio».
«Come di consueto, la Corea del Nord ha respinto le critiche mosse da Washington e da altre nazioni in merito al lancio, affermando il proprio diritto sovrano all’esplorazione spaziale.»
«Come già indicato in precedenza e ribadito dall’articolo di *The Record* sull’argomento, le campagne di usurpazione d’identità condotte da gruppi come Kimsuky sono pericolose perché alcuni bersagli potrebbero sottovalutare la minaccia rappresentata da tali attacchi, “sia perché non ritengono che le proprie ricerche e comunicazioni siano di natura sensibile, sia perché non sono consapevoli di come tali attività alimentino le più ampie iniziative di spionaggio informatico del regime”».
2. Asylum Ambuscade: crimeware o spionaggio informatico?
Un nuovo rapporto pubblicato sul blog “We Live Security” di ESET analizza l’identità in qualche modo ambigua di un attore malintenzionato identificato come “ ” (Asylum Ambuscade) (si apre in una nuova scheda), che si colloca a cavallo tra la criminalità informatica – impegnata nella diffusione di crimeware – e lo spionaggio informatico.
Che cos’è “Asylum Ambuscade”?
Asylum Ambuscade è innanzitutto un gruppo dedito alla criminalità informatica — sebbene svolga “parallelamente” una vasta gamma di operazioni di spionaggio informatico. Il gruppo è attivo dal 2020.
L’esistenza e le attività del gruppo sono state rese note per la prima volta su marzo 2022, grazie ai ricercatori di Proofpoint (si apre in una nuova scheda) , i quali hanno descritto «una campagna di phishing (si apre in una nuova scheda) , probabilmente sponsorizzata da uno Stato-nazione, che utilizzava l’account e-mail di un membro delle forze armate ucraine, presumibilmente compromesso, per prendere di mira il personale governativo europeo coinvolto nella gestione della logistica dei rifugiati in fuga dall’Ucraina».
Il fatto che questa attività sembrasse emergere dal nulla non è sfuggito ai ricercatori di Proofpoint, che hanno inserito nel suo nome la parola “ambuscade” — ovvero “imboscata”.
Tuttavia, negli anni e nei mesi precedenti lo scoppio del conflitto tra Russia e Ucraina, nel panorama delle minacce sono emersi numerosi gruppi e ramificazioni. Allora, cosa contraddistingue questo gruppo?
Asylum Ambuscade è un gruppo di crimeware che prende di mira i clienti delle banche e gli operatori di criptovalute in varie regioni, tra cui il Nord America e l’Europa. Il gruppo svolge inoltre attività di spionaggio nei confronti di enti governativi in Europa e in Asia centrale. Inoltre, la maggior parte dei suoi moduli utilizza linguaggi di scripting quali AutoHotkey, JavaScript, Lua, Python e VBS.
Pertanto — tralasciando per un momento il fatto che si tratti di un attore di minacce informatiche le cui competenze sembrano più adatte a un gruppo di criminali informatici mossi da motivazioni finanziarie — esaminiamo a cosa si dedica Asylum Ambuscade nel tempo libero: lo spionaggio.
Campagne di spionaggio informatico
Secondo quanto riferito, Asylum Ambuscade sarebbe coinvolta in campagne di spionaggio informatico almeno dal 2020. Il post pubblicato sul blog di We Live Security cita come prova di tale circostanza il fatto di aver osservato precedenti attacchi contro funzionari governativi e dipendenti di aziende statali in Asia centrale e in Armenia.
In base al rapporto di Proofpoint, risulta evidente che nel 2022 il gruppo è stato osservato mentre prendeva di mira funzionari legati ai governi di vari paesi europei confinanti con l’Ucraina. L'obiettivo di queste campagne era il furto di informazioni e delle credenziali di accesso ai portali di webmail ufficiali utilizzati dai funzionari governativi presi di mira.
Gli attacchi che hanno caratterizzato tali campagne spesso prendevano inizio con e-mail di spear phishing corredate da allegati Excel compromessi contenenti codice VBA dannoso. Tale codice era responsabile del download di pacchetti MSI da un server remoto sotto il controllo degli autori dell’attacco e dell’installazione di SunSeed, un downloader scritto in Lua.
Con ciò non si intende dire che gli allegati fossero privi di variazioni. Nel mese di giugno, 2022 Asylum Ambuscade ha sfruttato la vulnerabilità “ ” di Follina, ampiamente riportata dai media ( ) (CVE-2022-30190 (si apre in una nuova scheda)). Si è trattato di un cambiamento significativo rispetto al consueto utilizzo di codice VBA dannoso.
In queste varianti di attacco, qualora gli autori dell’attacco ritenessero che il dispositivo preso di mira valesse un ulteriore sforzo, passerebbero alla fase successiva: l’installazione di “AHKBOT”. AHKBOT è un programma di download scritto in AutoHotkey, le cui funzionalità possono essere ampliate grazie a vari plugin; esso facilita la raccolta di informazioni dal computer compromesso. Questo è solo un esempio della gamma di strumenti a disposizione del gruppo.
Campagne di criminalità informatica
Secondo quanto riferito, Asylum Ambuscade sarebbe coinvolta in campagne di criminalità informatica a scopo di lucro sin dall’inizio del 2020. E da quando è stato creato il sito gennaio 2022 , le sue attività criminali informatiche hanno mietuto ben 4.500 vittime in tutto il mondo. Le vittime di questo gruppo si trovano principalmente in Nord America, ma sono state segnalate anche in Asia, Africa, Europa e Sud America.
Per quanto riguarda le modalità di selezione delle vittime da parte di Asylum Ambuscade, il profilo delle vittime del gruppo è piuttosto eterogeneo e comprende privati, operatori nel settore delle criptovalute e una vasta gamma di piccole e medie imprese (PMI) operanti in diversi settori verticali.
Sebbene lo scopo alla base di gran parte delle attività e degli obiettivi di questo attore malintenzionato sia piuttosto evidente (ad esempio, il gruppo prende di mira i trader di criptovalute con l’obiettivo di sottrarre criptovalute), alcuni dei suoi obiettivi non risultano così evidenti a prima vista. Ad esempio, gli autori del post sul blog ammettono che si sa ben poco sulle modalità con cui Asylum Ambuscade monetizza l’accesso alle PMI. Tuttavia, i ricercatori ipotizzano che l’autore possa semplicemente vendere l’accesso ad altre organizzazioni di criminali informatici, le quali poi sfruttano l’accesso sottratto per diffondere ransomware o compiere altri tipi di estorsione o furto di dati. Gli autori sottolineano inoltre che ciò non è emerso in nessuna delle misurazioni telemetriche osservate.
Per quanto riguarda la catena di attacco sfruttata da Asylum Ambuscade a sostegno delle proprie attività criminali, si riscontra una significativa sovrapposizione con il ciclo di compromissione utilizzato per favorire il raggiungimento degli obiettivi di spionaggio informatico del gruppo. La differenza più evidente è il vettore di accesso iniziale.
Secondo il rapporto, un vettore di compromissione secondario utilizzato dal gruppo nel corso delle campagne di criminalità informatica si avvale di annunci pubblicitari dannosi su Google, che reindirizzano le vittime verso siti web che distribuiscono file JavaScript dannosi (si apre in una nuova scheda).
Da We Live Security:
Reindirizzamenti HTTP multipli in un sistema di gestione del traffico (TDS). Il TDS utilizzato dal gruppo è denominato “ 404 TDS” da Proofpoint. Non si tratta di una tecnica esclusiva di Asylum Ambuscade e abbiamo osservato che, ad esempio, è stata utilizzata da un altro attore malintenzionato per diffondere Qbot.
Il gruppo ha inoltre sviluppato versioni equivalenti a SunSeed utilizzando altri linguaggi di scripting quali Tcl e VBS, nonché un programma simile ad AHKBOT in Node.js, che gli autori del rapporto identificano con il nome di NODEBOT.
Attribuzione
Date le sorprendenti somiglianze riscontrabili in quasi tutti gli aspetti delle catene di compromissione, risulta evidente che sia le campagne di spionaggio informatico sia quelle di criminalità informatica siano opera di un unico gruppo. Tale affermazione è ulteriormente avvalorata dal fatto che sia SunSeed che AHKBOT sono stati ampiamente utilizzati in attacchi finalizzati al raggiungimento di entrambi gli obiettivi. Gli autori del materiale di riferimento su cui si basa la presente panoramica nutrono dei dubbi sul fatto che SunSeed e AHKBOT siano attualmente in vendita sul mercato nero.
Da We Live Security:
Non riteniamo che SunSeed e AHKBOT siano in vendita sul mercato nero. Questi strumenti non sono particolarmente sofisticati rispetto ad altri strumenti di crimeware disponibili sul mercato; il numero di vittime è piuttosto esiguo, se si considerasse che si tratta di un set di strumenti condiviso tra più gruppi, e l’infrastruttura di rete risulta coerente in tutte le campagne... Pertanto, riteniamo che Asylum Ambuscade sia un gruppo di criminali informatici che, parallelamente, si dedica ad attività di spionaggio informatico.
Da questo punto in poi, il post del blog entra nei dettagli altamente tecnici relativi al set di strumenti di Asylum Ambuscade, fornendo analisi e approfondimenti su ogni aspetto: dai file JavaScript dannosi distribuiti durante la maggior parte delle campagne crimeware del gruppo, ai downloader personalizzati di prima e seconda fase, fino alla miriade di plugin che supportano SunSeed e AHKBOT.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Asylum Ambuscade è innanzitutto un attore malintenzionato nel campo della criminalità informatica, poiché la motivazione principale del gruppo sembra essere di natura finanziaria.»
"Tenendo conto di ciò, e poiché è estremamente insolito osservare un criminale informatico che, come attività secondaria, conduca operazioni dedicate di spionaggio informatico, è lecito affermare che le attività di spionaggio attribuite a questo attore potrebbero benissimo costituire un incarico su commissione, svolto per conto del governo di uno Stato-nazione non ancora identificato o su richiesta di un gruppo di hacker sostenuto dal governo che intenda prendere le distanze."
"Non è raro che gli attori malintenzionati sostenuti dallo Stato «affidino» determinati aspetti del proprio operato a mercenari informatici. Ad esempio, mi vengono subito in mente le APT iraniane. Tuttavia, sembra che ci sia qualcosa di più di quanto appaia a prima vista. "CTI continuerà a seguire gli sviluppi di questa vicenda."
3. La combinazione di ransomware e stealer Cyclops: una doppia minaccia
Un recente rapporto di Uptycs analizza in dettaglio gli autori delle minacce associati al ransomware Cyclops di (si apre in una nuova scheda) e alla sua nuova funzionalità di furto di informazioni.
Il ransomware Cyclops prende di mira tutti i principali sistemi operativi, tra cui Windows, Linux e macOS. L'operazione promuove ora un nuovo file binario progettato per sottrarre dati dai dispositivi sia Windows che Linux .
Come i ricercatori hanno scoperto Cyclops
Durante una sessione di monitoraggio di routine del dark web, Uptycs si è imbattuta in un nuovo provider di servizi di ransomware-as-a-service (RaaS) , denominato “”, che offre servizi di ransomware insieme a un file binario separato destinato al furto di dati. L'autore dell'attacco responsabile del RaaS promuove tali offerte su vari forum e richiede una quota dei profitti realizzati da coloro che utilizzano i suoi servizi. Fornisce inoltre un pannello dedicato alla diffusione del ransomware su tre diversi sistemi operativi.
Analisi binaria del ransomware
Come già indicato in precedenza, il ransomware Cyclops presenta varianti per Windows, Linux e macOS.
Windows
Uptycs ha scaricato il file di archivio “ Windows ” dal pannello di amministrazione di Cyclops e ha scoperto la presenza del file binario “builder” insieme a un file “readme.txt”.
L'autore dell'attacco ha condiviso in privato un ID di builder per la creazione di un payload di riscatto denominato "locker.exe". Questo payload è progettato per infettare sia i computer locali che quelli collegati in rete e il file di testo ad esso associato contiene le istruzioni per l'esecuzione del payload.
Il payload analizzerà e identificherà i processi in esecuzione sul computer preso di mira e terminerà qualsiasi processo che possa potenzialmente interrompere il proprio processo di crittografia.
Il payload utilizza l'API GetLogicalDriveStrings per recuperare le informazioni relative alle unità logiche del sistema. Dopo aver individuato le lettere delle unità, il programma procederà a enumerare le cartelle e a inserire sul disco una nota di riscatto intitolata “How To Restore Your Files.txt”. Prima della crittografia, verificherà l'estensione dei file per accertarsi che corrisponda a un elenco predefinito. Se non corrisponde, il file verrà crittografato e gli verrà aggiunta l'estensione .cyclops.
Un malintenzionato che utilizzi questo file binario del ransomware può ottenere i dettagli delle copie shadow dal sistema della vittima semplicemente eseguendo una query SELECT*FROM Wind32_ShadowCopy. I dati in uscita includono l'ID di ciascuna copia di ombra, l'ora di creazione, il volume, il nome e altre informazioni. Il payload avvierà quindi la cancellazione di una copia shadow specifica, identificata dal proprio ID. La cancellazione avviene tramite l'esecuzione dell'utilità da riga di comando WMIC ( Windows Management Instrumentation).
Linux
La variante “ Linux ” è un file compilato in Go in cui i nomi delle funzioni sono stati rimossi per rendere più difficile il reverse engineering.
Dopo aver eseguito il codice di esempio, Uptycs ha riscontrato che esso offre la possibilità di crittografare i file presenti in un percorso specifico, le macchine virtuali o di abilitare l’output dettagliato.
Questa variante inserirà una richiesta di riscatto in ogni cartella che crittografa e genererà quindi un rapporto relativo ai file individuati, ai file crittografati, ai file crittografati con errore, all’ora e ad altri dati.
macOS
L'hash di questa variante è un file compilato in Go e si presenta sotto forma di file binario Mach-O.
Una volta eseguito, offre la possibilità di crittografare i file presenti in un percorso specifico, le macchine virtuali o di attivare l'output dettagliato.
L'opzione scelta per l'esecuzione del riscatto prevede che i file crittografati vengano collocati in una cartella specifica insieme alla richiesta di riscatto.
Analisi binaria di Stealer
Uptycs sta ancora analizzando nei dettagli le caratteristiche tecniche delle varianti del malware Cyclops, ma ha fornito le informazioni di cui dispone attualmente.
Windows stealer: Uptycs ha scaricato lo stealer Windows dal pannello di amministrazione di Cyclops. Dopo aver estratto il file di archivio scaricato, i ricercatori hanno ottenuto due file: stealer.exe e config.json.
Il programma di furto è un file binario eseguibile per i sistemi x64 ed estrae varie informazioni di sistema dai computer presi di mira. Il programma di furto legge quindi il proprio file config.json, che contiene un elenco di nomi di file con le relative estensioni e dimensioni.
Il malintenzionato procederà quindi a eseguire l'enumerazione delle directory e a verificare la presenza dei file presi di mira e di specifiche estensioni di file. Se viene individuata una corrispondenza, verrà creato un nuovo file ZIP protetto da password contenente una copia esatta del file, insieme alla relativa struttura ad albero delle cartelle. Tali dati vengono quindi trasferiti al server dell’autore dell’attacco.
Linux stealer: Analogamente alla variante “ Linux ”, all’interno del file di archivio sono stati individuati due file: stealer.linux e config.json.
Questo programma di furto inizia leggendo il file config.json, che a sua volta contiene un elenco di nomi di file con le relative estensioni e dimensioni. Come la variante “ Windows ”, questa versione effettuerà una scansione delle directory, verificherà la presenza dei file e delle estensioni di file specificati e creerà un file ZIP protetto da password contenente i risultati corrispondenti.
I file ZIP vengono quindi caricati su api[.]bayfiles[.]com/upload e su api[.]anonfiles[.]com/upload.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Cyclops è un’operazione RaaS relativamente recente, di cui si è parlato per la prima volta solo di recente. Oltre a prendere di mira i sistemi Windows, Linux e macOS con il proprio ransomware, l’operazione si è estesa fino a includere un malware finalizzato al furto di informazioni."
"Queste funzionalità, unite al suo complesso sistema di crittografia, indicano chiaramente che l’autore della minaccia all’origine dell’operazione è particolarmente esperto. Tenendo presente che Cyclops offre tutto ciò pur essendo in circolazione da poco tempo, possiamo cominciare a comprendere con quanta rapidità un’operazione di ransomware sconosciuta possa trasformarsi in una minaccia di primo piano.”
Ha qualche riflessione su queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium, per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
