Nella rassegna settimanale dedicata alla Cyber Threat Intelligence (CTI) (il 2022° e ultimo articolo della serie!), analizziamo in modo approfondito un recente rapporto di Cisco Talos che descrive in dettaglio un metodo di distribuzione del malware QakBot (QBot) documentato di recente da , il quale sfrutta i file SVG (Scalable Vector Graphics) e il “smuggling” HTML per assemblare localmente un payload dannoso. Si passa ora ad analizzare un gruppo di tre nuove famiglie di ransomware, che secondo Fortinet sarebbero all’origine di un’ondata di attacchi in corso contro i sistemi Windows . Infine, concludiamo con una panoramica del rapporto “ 2022 Adversary Infrastructure Report” di Recorded Future, incentrato sull’evoluzione delle tendenze relative all’infrastruttura di comando e controllo (C2) utilizzata dagli autori delle minacce — compreso un aumento del 30% nel numero di server unici ( C2 ) rilevati nel 2022 rispetto all’anno scorso.
1. Gli autori degli attacchi utilizzano file SVG per introdurre di nascosto il malware QBot nei sistemi Windows
Un recente articolo pubblicato sul blog di intelligence di Cisco Talos , intitolato “ ” (si apre in una nuova scheda), descrive in dettaglio un nuovo metodo di distribuzione del malware QBot che utilizza file SVG per effettuare il “HTML smuggling” e, in ultima analisi, assembla un payload dannoso localmente sui dispositivi delle vittime.
In parole povere, quando la vittima di questo attacco riceve e apre l’allegato malevolo contenuto nell’e-mail, il suo browser decodifica ed esegue uno script incorporato, generando così un payload dannoso direttamente sul dispositivo della vittima.
Che cos’è il “contrabbando di codice HTML”?
HTML smuggling (si apre in una nuova scheda)è una tecnica di diffusione di malware che consente agli autori degli attacchi di nascondere uno script dannoso codificato all’interno di un allegato e-mail in formato HTML o di una pagina web. Indipendentemente dal formato in cui viene ricevuto il codice HTML, la sua apertura comporta la decodifica del codice dannoso in esso contenuto e l’esecuzione del payload sul dispositivo del destinatario. Questa tecnica consente a un malintenzionato di creare il malware al di là di un firewall, anziché dover tentare di far passare file eseguibili dannosi attraverso le difese perimetrali.
Contrabbando di codice HTML tramite SVG
L’inserimento clandestino di codice HTML può avvenire in diversi modi. Tuttavia, Cisco Talos ha recentemente rilevato che un autore di attacchi ha utilizzato una tecnica di smuggling HTML relativamente nuova, che prevede l’uso di immagini SVG.
A differenza dei file immagine JPEG, le immagini SVG sono vettoriali, il che significa che è possibile aumentarne le dimensioni senza comprometterne la qualità. Queste immagini sono state realizzate utilizzando XML, che consente di inserirle facilmente in un codice HTML.
Cisco Talos ha individuato e-mail dannose con allegati HTML contenenti immagini SVG codificate che includono tag di script HTML. L'inserimento di tag <script> all'interno delle immagini SVG è una funzionalità legittima del formato SVG che viene però sfruttata in modo improprio dagli autori degli attacchi per introdurre codice dannoso nel dispositivo della vittima. Con questa tecnica, gli autori degli attacchi sfruttano il fatto che la maggior parte dei browser web decodifica ed esegue tale codice come se fosse una parte legittima del codice HTML del documento.
Il codice dannoso nascosto all’interno dell’immagine SVG contiene l’archivio ZIP dannoso di dimensioni maggiori. Il malware viene quindi estratto e assemblato direttamente sul computer della vittima. Poiché il payload del malware viene generato direttamente sul computer della vittima, questa tecnica consente agli autori degli attacchi di eludere i sistemi di rilevamento di sicurezza di base, progettati per filtrare eventuali contenuti dannosi che entrano nella rete.
L'istanza di QBot
Una delle modalità di diffusione note di QBot consiste nel prendere il controllo dell’account di posta elettronica della vittima e nel rispondere a una conversazione e-mail esistente allegando il proprio malware. Questa tecnica sfrutta il fatto che l’e-mail utilizzata come arma sembri provenire da una fonte legittima e affidabile, aumentando così la probabilità che il destinatario interagisca con il contenuto nel modo desiderato dall’autore dell’attacco. Nel caso osservato da Cisco Talos, gli autori dell'attacco hanno risposto a una conversazione via e-mail risalente a molto tempo fa.
Quando la vittima apre l’allegato, il codice nascosto all’interno dell’immagine SVG entra in azione creando un archivio ZIP dannoso. Viene quindi visualizzata una finestra di dialogo in cui viene chiesto alla vittima di salvare il file. L'allegato HTML mostra una password che le vittime dovranno utilizzare per aprire l'archivio ZIP crittografato appena creato sul computer della vittima.
All’interno dell’allegato HTML, Cisco Talos è riuscito a individuare il codice utilizzato dagli autori dell’attacco per introdurre di nascosto il codice JavaScript nel dispositivo. Oltre ad alcune tecniche di offuscamento già note, i ricercatori hanno individuato anche un tag <embed> contenente l’immagine SVG base64-encoded . Una volta decodificata l’immagine e deoffuscato il codice JavaScript, Cisco Talos ha individuato la tecnica di contrabbando tramite SVG HTML utilizzata in questa campagna QBot.
- La funzione charCodeAt() viene utilizzata per convertire il testo contenuto in una variabile JavaScript in un blob binario. Utilizzando la funzione createObjectURL(), il blob binario viene quindi convertito in un archivio zip che l'utente viene invitato a salvare sul proprio file system locale.
- Se la vittima inserisce la password fornita dall’autore dell’attacco e apre l’archivio zip, potrà estrarre un file ISO . Si ritiene che questo file ISO infetti la vittima con QBot.
Statistiche sul contrabbando di codice HTML
Trustwave ha recentemente pubblicato un articolo sul blog in cui si sottolinea che gli allegati in formato HTML continuano a rappresentare una minaccia, e l’attività sopra menzionata, osservata da Cisco Talos, lo conferma senza dubbio.
Trustwave ha riscontrato che gli allegati in formato HTML stanno diventando sempre più frequenti nelle proprie trappole antispam. In un periodo di 30 giorni, Trustwave ha rilevato che la combinazione di file HTML (11,39%) e HTM (2,7%) rappresentava il secondo tipo di allegato più diffuso nello spam, per un totale del 14,09%.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il contrabbando di codice HTML può eludere gli strumenti di sicurezza tradizionali che monitorano il traffico in entrata, poiché consente di assemblare il codice dannoso dall’interno della rete.» Ciò evidenzia la necessità sempre crescente di una protezion endpoint e in grado di impedire l'esecuzione di malware."
"Sebbene il "smuggling" di codice HTML non sia una tecnica nuova, sta riscuotendo sempre maggiore successo tra gli autori delle minacce grazie alla già citata capacità di aggirare alcune difese di sicurezza, quali i filtri di scansione dei contenuti. «L’uso di immagini SVG per il “smuggling” HTML costituisce l’ennesimo esempio di come gli autori delle minacce continuino a evolvere le proprie tecniche per rimanere all’avanguardia e ottenere risultati positivi.»
2. Una nuova ondata di famiglie di ransomware è all’origine degli attacchi ai sistemi Windows
Tre nuove famiglie di ransomware (si apre in una nuova scheda) sono state in prima linea negli attacchi che prendono sempre più di mira i sistemi Windows : Vohuk, ScareCrow e AESRT (noto anche come AERST).
Come indicato nell’ultima edizione bisettimanale del “Ransomware Roundup” di Fortinet, i ransomware Vohuk, ScareCrow e AERST presentano le seguenti caratteristiche comuni:
- Piattaforme interessate: Microsoft Windows
- Soggetti interessatie: Microsoft Utenti di Windows
- Impact: Crittografa i file presenti sul computer compromesso e richiede un riscatto per la decrittografia dei file
- Livello di gravitàe: Elevato
Di seguito vi presentiamo un'analisi più approfondita di ciascuna famiglia di ransomware.
Ransomware Vohuk
Da Fortinet:
«Come la maggior parte dei ransomware, la nuova variante di Vohuk crittografa i file presenti sui computer compromessi e cerca di estorcere denaro alle vittime. Il messaggio di riscatto che ha lasciato, “README.txt”, chiede alle vittime di contattare l’autore dell’attacco via e-mail utilizzando un ID univoco assegnato a ciascuna vittima. Come si evince dalla richiesta di riscatto, questa variante del ransomware Vohuk è la versione 1,3, il che potrebbe indicare che l’autore dell’attacco abbia aggiornato il ransomware più volte.”
- Vorhuk crittografa i file e aggiunge loro l’estensione “.Vohuk”.
- Inoltre, sostituisce le icone dei file interessati con l’icona di un lucchetto rosso (vedi sotto) e sostituisce lo sfondo del desktop con il proprio tema.
Da Fortinet:
«Il ransomware lascia un mutex caratteristico, “Global\\VohukMutex”, che impedisce l’esecuzione di diverse istanze del ransomware Vohuk sullo stesso sistema...» "In base alle località da cui sono stati inviati i file a VirusTotal, il ransomware Vohuk ha colpito principalmente la Germania e l’India."
Ransomware ScareCrow
Da Fortinet:
“Il ransomware ScareCrow sembra presentare alcune somiglianze con il famigerato ransomware Conti: entrambi utilizzano l’algoritmo CHACHA per crittografare i file ed eliminano le copie shadow tramite wmic in base agli ID delle copie shadow. Ciò non è poi così sorprendente, poiché, secondo quanto riferito, il codice sorgente del ransomware Conti era già trapelato all’inizio dell’anno. Tuttavia, l’autore della minaccia ScareCrow ha dedicato un certo impegno allo sviluppo di questa variante di ransomware, poiché la nostra analisi ha rilevato alcune differenze significative. Ad esempio, Conti crittografa tutte le stringhe di comando con un’unica routine di decrittografia, mentre ScareCrow crittografa ogni singola stringa, compresi il nome delle DLL che carica (ad esempio, kernel32), il nome delle API che utilizza e persino le stringhe di comando con una propria routine di decrittografia.”
Sotto molti aspetti, ScareCrow è un tipico ransomware. Crittografa i file presenti sui computer delle vittime e lascia una richiesta di riscatto sotto forma di un file denominato “readme.txt”. La nota contiene tre diversi canali Telegram che le vittime possono utilizzare per comunicare con i propri aggressori, i quali in genere omettono di indicare una richiesta economica nelle loro note di riscatto (un fatto che potrebbe indicare la volontà degli aggressori di riservarsi il diritto di stabilire un prezzo sul momento, qualora venissero contattati da un negoziatore autorizzato dell’organizzazione vittima).
Fortinet rileva che, al momento della stesura del presente documento, nessuno dei tre canali Telegram era disponibile.
Il ransomware ScareCrow aggiunge inoltre l’estensione “.CROW” ai file crittografati.
Ransomware AERST
Da Fortinet:
“AESRT è una nuova variante di ransomware individuata di recente dai FortiGuard Labs. Crittografa i file presenti sui computer compromessi e aggiunge l’estensione “.AESRT” ai file che crittografa. Anziché lasciare una richiesta di riscatto, il ransomware visualizza una finestra pop-up che riporta l’indirizzo e-mail dell’autore dell’attacco. Consente inoltre di inserire la chiave acquistata necessaria per decriptare i file oggetto del riscatto. Il ransomware elimina inoltre le copie shadow, impedendo così alla vittima di recuperare i file.”
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«È estremamente sconsigliabile (lo diciamo in linea generale – in ogni situazione vi sono sempre circostanze attenuanti) versare il riscatto alle bande di autori di ransomware. Non solo non vi è alcuna garanzia che i Suoi file vengano recuperati, ma non vi è nemmeno alcuna garanzia che i criminali non tornino a chiedere altro. Inoltre, diversi enti governativi statunitensi, di vario tipo e di diverse giurisdizioni, hanno sconsigliato il pagamento di riscatti, sottolineando che, in molti casi, tale pratica potrebbe essere considerata illegale.
"È fondamentale prestare attenzione ai comportamenti e alle tattiche, tecniche e procedure (TTP) che operazioni come quelle dei gruppi di ransomware sopra descritti sfruttano sia prima che durante le loro attività, ponendo l’accento sulla necessità di mantenere alta la consapevolezza riguardo ai vettori di accesso iniziali preferiti da questi gruppi (come l’impiego di malware “precursore” – si pensi a QBot e al suo ruolo nella diffusione del ransomware Black Basta – spesso diffuso tramite sofisticate campagne di phishing).”
3. Recorded Future: il numero di server di comando e controllo ha registrato un picco nel 2022
Il nuovo rapporto di Recorded Future intitolato “2022 Adversary Infrastructure Report” (si apre in una nuova scheda) contiene un’analisi dell’infrastruttura di comando e controllo (C2) identificata mediante metodi proattivi di scansione e raccolta dati nel corso del 2022.
Tra i risultati principali emersi dal rapporto, l’aspetto forse più rilevante è l’aumento del numero di server C2 unici individuati nel 2022 — un incremento del 30% rispetto all’anno precedente. Ciò costituisce una chiara indicazione del fatto che sia i criminali informatici sia i gruppi APT (Advanced Persistent Threat) sostenuti da Stati stiano ricorrendo sempre più spesso a tali dispositivi per sferrare attacchi.
Un server “ C2 ” (si apre in una nuova scheda) è sostanzialmente un computer che invia comandi ai dispositivi infetti. I server consentono agli autori delle minacce di creare reti per crittografare i dati, sferrare attacchi e compiere altre attività dannose.
Gli autori del rapporto affermano di aver individuato più di 17.000 .C2 server in 2022, in aumento rispetto ai 13.629 server individuati l’anno precedente.
Analizzando i cinque principali framework di malware/exploit associati a questi C2 server negli ultimi tre anni, lo studio evidenzia un aumento costante del numero di C2 server collegati a Cobalt Strike, Meterpreter e PlugX (un diffuso trojan di accesso remoto particolarmente apprezzato dagli hacker sostenuti dallo Stato cinese). Ciò avviene nonostante l’età avanzata di questi strumenti in particolare.
Other significant contributing families include botnet families such as IcedID and QakBot (the latter of which seems to have experienced quite a successful year), as well as a fully re-emerged Emotet, which – along with QakBot, continued to expand C2 infrastructure throughout 2022.
Ulteriori spunti tratti dal rapporto
- I ricercatori hanno osservato un intervallo medio di 33 giorni tra il rilevamento di un server C2 tramite le proprie attività di scansione e la segnalazione dello stesso da parte di altre fonti.
- PlugX continua a essere ampiamente utilizzato, nonostante ShadowPad venga presentato come il suo “successore”.
- I cambiamenti nell’infrastruttura C2 finanziata dallo Stato russo possono rendere il monitoraggio di operazioni specifiche più difficile rispetto a quanto avviene con altre entità attribuite allo Stato.
- Come previsto, i principali provider di hosting continuano a registrare il maggior numero di rilevamenti relativi al server C2 . Tuttavia, si sono verificati cambiamenti riguardo ai fornitori utilizzati per i server C2 , tra cui un aumento di oltre il 300% dell’hosting presso Shenzhen Tencent Computer Systems, che l’ha resa la scelta più diffusa per il C2s nell’indagine condotta da Recorded Future.
- La Cina ha superato gli Stati Uniti come primo Paese in termini di volume per l’hosting di C2 server. Mentre la quota degli Stati Uniti relativa ai C2 server è scesa dal 34% al 22%, quella della Cina è aumentata dal 14% al 24%, principalmente a causa del notevole incremento dei C2 casi rilevati presso il provider di hosting cinese Shenzhen Tencent Computer Systems.
- Nel 2021, Recorded Future aveva previsto un ambiente più diversificato nel C2 , in cui i propri ricercatori avrebbero riscontrato un aumento dei rilevamenti grazie all’utilizzo di nuovi strumenti. Tuttavia, la varietà che alla fine hanno osservato derivava da una più ampia diffusione degli strumenti già in uso piuttosto che dall’impiego di nuovi strumenti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Per quanto riguarda le previsioni relative alle infrastrutture di attacchi avversari, passando dalla categoria C2 alla 2023, sembrerebbe ragionevole ipotizzare che framework consolidati come Cobalt Strike e botnet quali Emotet e QakBot continueranno a occupare i primi posti nelle classifiche risultanti da studi come quello sopra descritto, sebbene alcuni esperti indichino Brute Ratel come probabile successore di Cobalt Strike, in virtù del suo tasso di rilevamento più basso tra le soluzioni di rilevamento e risposta endpoint (EDR). In definitiva, saranno le famiglie di malware, strumenti di post-exploit e botnet che attribuiscono particolare importanza all’OPSEC, adottano un ciclo continuo di modifiche all’infrastruttura e impiegano TTP non convenzionali a riscuotere il maggior successo.”
Potete consultare qui altre edizioni della nostra rubrica “ ” dedicata alle informazioni sulle minacce informatiche.
