Nel rapporto di questa settimana forniamo una panoramica di una recente campagna attribuita al famigerato attore malintenzionato russo APT28 (noto anche come Fancy Bear), il quale, secondo quanto riferito, starebbe sfruttando una nuova tecnica di esecuzione del codice che richiede un intervento umano minimo per sferrare i propri attacchi.
Di seguito, presentiamo un rapporto di intelligence strategica sul recente avvertimento dell’Ucraina secondo cui la Russia starebbe pianificando una nuova ondata di attacchi contro le infrastrutture critiche del Paese.
Infine, analizziamo in modo approfondito una nuova campagna rivolta a diverse aziende appaltatrici del settore militare coinvolte nella produzione di armi, tra cui un fornitore impegnato nella produzione di componenti per i caccia F-35 Lightning II.
1. Gli hacker utilizzano file PowerPoint per diffondere malware tramite l’effetto “mouseover”
Cluster25 ha individuato una tecnica di esecuzione di codice piuttosto innovativa e rara (si apre in una nuova scheda) che sfrutta i movimenti del mouse delle vittime all’interno di Microsoft PowerPoint per attivare uno script dannoso PowerShell . I ricercatori ritengono che la campagna sia collegata in modo specifico all’attore malintenzionato APT28, noto anche come Fancy Bear, sostenuto dallo Stato russo.
Il documento esca rilevato in questa campagna è un file PowerPoint che sfrutta un’interessante tecnica di esecuzione del codice. È progettato per attivarsi quando l’utente avvia la modalità di presentazione di PowerPoint e sposta il mouse.
Secondo un rapporto della società di intelligence sulle minacce Cluster25 , il gruppo APT28 (noto anche come “Fancy Bear”), attribuito al GRU russo, avrebbe utilizzato file PowerPoint per la diffusione di malware tramite l’effetto “mouseover” https://t.co/5BEf2PM6S2 @BleepinComputer
— 780ª Brigata di intelligence militare (Cyber) (@780thC) 27 settembre 2022
L’esca di PowerPoint
Il file PowerPoint in questione contiene due diapositive, ciascuna delle quali presenta lo stesso contenuto. Tuttavia, la prima diapositiva è redatta in inglese e la seconda in francese.
A giudicare da ogni indizio esteriore, il documento è collegato all’Organizzazione per la cooperazione e lo sviluppo economico (OCSE), un’organizzazione intergovernativa che opera per promuovere il progresso economico e il commercio a livello mondiale. Le diapositive stesse forniscono ai destinatari le istruzioni relative all’utilizzo di un’opzione di interpretazione integrata nell’applicazione di videoconferenza Zoom.
Il file PowerPoint sfrutta una tecnica di esecuzione del codice unica nel suo genere, attivata tramite l’utilizzo di collegamenti ipertestuali anziché attraverso la più tradizionale opzione “Esegui programma/macro” (il che potrebbe essere una conseguenza della recente decisione di Microsoft di disabilitare per impostazione predefinita alcune macro nei propri prodotti Office). Il codice dannoso si attiva in risposta a un'interazione minima da parte dell'utente — in particolare quando l'utente sposta il cursore mentre si trova in modalità presentazione.
L'esecuzione del codice avvia uno script PowerShell tramite l'utilità SyncAppvPublishingServer, quindi scarica ed esegue un file JPEG da OneDrive.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Non è certo una novità che gli autori delle minacce diffondano malware tramite file di Office, anche se nella maggior parte dei casi sembrano avvalersi di documenti Excel e Word piuttosto che di file PowerPoint.»
"Come molte campagne di phishing di tipo " " osservate negli ultimi mesi, questo attacco rinuncia all’uso di macro dannose, ricorrendo invece a un ingegnoso evento "mouseover" come catalizzatore generato dall’utente attraverso il quale viene eseguito il codice dannoso — sebbene l’utente non debba nemmeno cliccare fisicamente sul link. Sebbene questa tecnica non sia nuova, è certamente rara e degna di nota, e vale la pena tenerla d’occhio."
"Lo sforzo titanico che spesso occorre per insegnare ai dipendenti a evitare di cliccare su link dall’aspetto sospetto è una cosa, ma la complessità raggiunge livelli del tutto nuovi quando anche il semplice passaggio del cursore su un link può causare attività dannose di notevole entità." La revisione dei programmi di sensibilizzazione e formazione in materia di phishing e ingegneria sociale , al fine di tener conto di tale rischio, risulta particolarmente ardua, poiché la tecnica del “hover” è spesso una delle principali misure difensive insegnate ai dipendenti per valutare con maggiore accuratezza la legittimità di un messaggio quando si imbattono in e-mail sospette di natura malevola.”
2. La Russia sta pianificando “attacchi informatici su vasta scala” contro le infrastrutture critiche, avverte l’Ucraina
Un recente avviso dell’ , pubblicato dal Ministero della Difesa ucraino (si apre in una nuova scheda) , avverte che alcuni attori malintenzionati sostenuti dallo Stato russo stanno pianificando attacchi informatici su vasta scala sia contro le infrastrutture critiche di proprietà delle imprese ucraine sia contro quelle degli alleati dell’Ucraina.
L’Ucraina mette in guardia da imminenti attacchi informatici da parte del GRU
L'avvertimento sostiene che l'attacco sarà diretto contro le imprese del settore energetico. È interessante notare che l’avvertimento prosegue affermando che tali attacchi ricorderanno fortemente quelli sferrati contro i sistemi energetici ucraini negli anni 2015 e 2016 , quando alcuni hacker operanti sotto l’egida del GRU (il servizio di intelligence militare russo) avrebbero sferrato due ondate di attacchi, ciascuna delle quali sfruttava un malware particolarmente potente.
Il recente avviso fa seguito a diverse avanzate militari ucraine che hanno portato alla riconquista di vaste aree di città che erano state sotto il controllo russo per mesi. I ricercatori indicano inoltre la recente leva militare indetta dalla Russia (un appello alla mobilitazione di altri 300.000 cittadini russi a sostegno del conflitto del Paese con l’Ucraina) come possibile fattore scatenante del crescente ricorso da parte della Russia ad attività informatiche offensive per il raggiungimento di obiettivi militari, evitando così di gravare ulteriormente sull’attuale carenza di personale militare.
I ricercatori analizzano i precedenti attacchi informatici alle infrastrutture ucraine
I ricercatori sono divisi nel valutare le probabilità che nel 2022 venga condotta con successo una campagna di attacchi informatici contro la rete elettrica ucraina. Le unità di difesa informatica ucraine sembrano aver acquisito maggiore competenza nell’individuare e prevenire attività dannose all’interno delle reti appartenenti alle organizzazioni che costituiscono le infrastrutture critiche del Paese (si pensi, ad esempio, all’individuazione da parte del CERT-UA ucraino del malware Industroyer (si apre in una nuova scheda) all’interno dell’ambiente di un’azienda energetica regionale).
D'altra parte, secondo alcune fonti, gli attacchi denominati 2015, 2016 e altri episodi più recenti sarebbero stati attribuiti al gruppo Sandworm, un’APT (Advanced Persistent Threat) sostenuta dallo Stato russo; e su una cosa i ricercatori concordano: Sandworm è considerato uno dei gruppi di hacker sponsorizzati dallo Stato più prestigiosi al mondo.
Inoltre, se si deve dare credito a un recente articolo pubblicato su , tratto da Mandiant , (si apre in una nuova scheda),, e a dati analoghi forniti da altre società specializzate nell’analisi delle minacce informatiche, gli APT al soldo del Cremlino non rappresentano le uniche minacce immediate che l’Ucraina si trova ad affrontare. Anche gli hacktivisti informatici con presunti legami con il GRU russo hanno recentemente fatto notizia (si apre in una nuova scheda) per i loro attacchi DDoS (Distributed Denial of Service) e di defacement contro siti web ucraini (gli esperti ritengono che fungano da copertura per operazioni di informazione e attività informatiche distruttive coordinate dal Cremlino).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’Ucraina — con grande sorpresa di gran parte del mondo — ha finora opposto una forte resistenza alle incursioni militari russe con uso di armi convenzionali. Tuttavia, resta da vedere se le forze di difesa informatica dell’Ucraina saranno in grado di opporre una resistenza altrettanto tenace ad alcuni degli hacker più temuti al mondo."
"Certamente, la portata e la frequenza degli attacchi informatici osservati tra le parti in conflitto coinvolte in questa guerra in corso non hanno precedenti nella storia mondiale. Le tattiche, le tecniche e le procedure (TTP) messe in evidenza durante questo periodo di instabilità si estenderanno inevitabilmente al di fuori del teatro delle operazioni e del relativo spazio di battaglia informatico, dimostrando ancora una volta che nulla accade nel vuoto e che il conflitto — per quanto lontano possa essere — finirà per coinvolgere tutti noi."
"L'unica domanda che resta da porsi è questa: cosa impareremo da tutto ciò e come lo metteremo a frutto?"
3. I ricercatori hanno scoperto una campagna di attacchi occulti rivolta contro appaltatori militari
Un recente rapporto di Securonix Threat Labs analizza una nuova campagna denominata “ ” che prende di mira diverse aziende appaltatrici del settore militare (si apre in una nuova scheda) coinvolte nella produzione di armi, tra cui un’organizzazione responsabile della produzione e della fornitura di componenti per i caccia F-35 Lightning II.
La campagna ha inizio – come spesso accade – con un’e-mail di phishing inviata ai dipendenti, che porta a un’infezione in più fasi; l’attività si distingue per la sua infrastruttura “Secure C2 ” e per i molteplici livelli di offuscamento nelle fasi di “ PowerShell ” degli attacchi.
Secondo Securonix, lo spear phishing è stato il principale mezzo utilizzato per la compromissione iniziale. L'attacco vero e proprio è stato sferrato a partire dalla fine dell'estate del 2022 e ha preso di mira almeno due organizzazioni di primo piano che attualmente operano come appaltatori militari.
La campagna sfrutta uno script dannoso che tenta di attuare diversi metodi di persistenza, tra cui l’integrazione nel registro di sistema, l’inserimento come attività pianificata sull’host compromesso e l’utilizzo di WMI per creare una nuova sottoscrizione al fine di eseguire codice dannoso come argomenti della riga di comando.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sebbene le tattiche generali utilizzate in questa campagna siano ben note ai ricercatori nel campo della sicurezza, l’autore della minaccia che sta dietro a questa campagna sembra aver dedicato notevoli sforzi alla messa a punto di solide tecniche anti-analisi e misure anti-forensi. Con una mossa ampiamente considerata insolita per i criminali informatici responsabili della maggior parte delle campagne di phishing, solitamente seguite da attività di post-sfruttamento in più fasi, questo attore malintenzionato sembra aver cercato di mantenere un livello significativo di sicurezza operativa (OPSEC) durante l’intero ciclo di attacco, anziché concentrare tutti i propri sforzi sull’aumentare la complessità tecnica delle fasi di post-sfruttamento dell’operazione, garantendo così che il malware della campagna risultasse più difficile da Detect e analizzare.”
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”.
