Questa settimana analizzeremo se il calo, ampiamente riportato, del numero di attacchi ransomware registrati nella prima metà del 2022 sia effettivamente fondato o se sia semplicemente il risultato della combinazione di vari fattori che contribuiscono a creare un insieme di dati distorto — e fuorviante.
Di seguito forniamo una sintesi dell’ultimo rapporto di Symantec sulle attività dell’APT Shuckworm, un gruppo di hacker che si ritiene sia collegato al famigerato Servizio federale di sicurezza russo (FSB). Esaminiamo inoltre l’attività di un attore malintenzionato sospettato di avere legami con l’Iran, che finora ha concentrato i propri sforzi su attacchi mirati contro entità israeliane operanti nei settori dei trasporti marittimi, della sanità e della pubblica amministrazione.
1. Il calo del numero di attacchi ransomware, ampiamente riportato dai media, è forse un’illusione?
Tim Starks del Washington Post ha recentemente sollevato una domanda interessante: il calo del numero di attacchi ransomware (si apre in una nuova scheda) osservato finora nella prima metà del 2022 , secondo l’ , riflette la realtà? Oppure il calo dei dati è il risultato di una “tempesta perfetta” causata da una serie di fattori concausali e da lacune informative?
La risposta più sintetica sembra essere che la questione non risieda tanto nel fatto che il numero di attacchi ransomware sia diminuito (le ricerche quotidiane del CTI sembrerebbero indicare il contrario), quanto piuttosto nel fatto che le fonti che riportano tali dati abbiano accesso a meno informazioni che mai. La risposta più articolata sembra essere una combinazione delle due.
Allora, quali sono i fattori che contribuiscono alla diminuzione del numero di attacchi segnalati ai soggetti incaricati di monitorare tali eventi? Innanzitutto, esaminiamo i dati riportati da fonti attendibili, in modo da poter essere certi che non si tratti solo di congetture.
Dall’articolo del Washington Post: «Uno dei primi dati che indicavano un calo è stato pubblicato il mese scorso dalla Ransomware Task Force, composta da esperti provenienti dal settore pubblico, dall’industria, dal mondo accademico e da organizzazioni non profit. It documented (opens in a new tab)64 attacks on local government, hospitals and schools in 2022 to that point, compared with 150 incidents from the same period last year.”
L’articolo sottolinea inoltre come, nel mese di luglio,, SonicWall (si apre in una nuova scheda),, , , NCC Group (si apre in una nuova scheda),, e , nonché GuidePoint Security (si apre in una nuova scheda),, , abbiano tutti segnalato un calo generalizzato. Tuttavia, le società in questione coprivano periodi di tempo diversi.
Naturalmente, non tutti i ricercatori sono giunti alle stesse conclusioni — un fenomeno piuttosto comune nel nostro settore. Dopotutto, le aziende hanno accesso a diverse fonti e dati telemetrici. Inoltre, i ricercatori adottano definizioni diverse di ciò che costituisce un vero e proprio incidente di ransomware.
Ad esempio, Avast ha affermato (si apre in una nuova scheda) proprio la scorsa settimana che gli episodi di ransomware erano aumentati da Q1 a Q2 su 2022 — sebbene Avast abbia dovuto ammettere che i propri ricercatori hanno osservato un calo nel numero di attacchi tra la fine del 2021 e l’inizio del 2022. Anche SecureWorks è giunta a una conclusione analoga.
Pertanto, se il ransomware è davvero ancora in piena attività, quali sono alcuni dei fattori che hanno contribuito a questa serie di dati potenzialmente distorta?
Starks indica i seguenti sviluppi come possibili circostanze che potrebbero distorcere i dati:
- Evoluzione delle tattiche, tecniche e procedure (TTP) degli autori delle minacce: Molte bande di autori di ransomware hanno iniziato a utilizzare tattiche simili a quelle del ransomware, ma senza ricorrere al software dannoso (estorsione senza crittografia), e ora si concentrano sul furto di dati e sulla minaccia di renderli pubblici senza necessariamente bloccare i sistemi aziendali.
- Cambiamento di strategia: Per evitare di attirare l’ira dei responsabili politici e delle forze dell’ordine, le bande di autori di ransomware hanno iniziato a prendere di mira anche le organizzazioni di dimensioni più ridotte. Ciò fa seguito a un’ondata di attacchi ransomware di grande risonanza ai danni di aziende di prim’ordine quali JBS, Kaseya e Colonial Pipeline, verificatisi lo scorso anno.
- Obiettivi più piccoli = risorse più limitate: È meno probabile che le vittime di dimensioni più ridotte segnalino i propri episodi di ransomware a uno qualsiasi degli enti incaricati di tenerne traccia.
Come affermato da Don Smith, vicepresidente del reparto di intelligence presso la Counter Threat Unit di SecureWorks, «Tale [cambiamento nelle modalità di attacco] porta quindi a una situazione in cui, se si è un’azienda di medie o grandi dimensioni, potrebbe non sussistere alcun rapporto con un CERT nazionale», ovvero con un team governativo di risposta alle emergenze informatiche. «Potrebbe non essere disposto a rivolgersi a società di primo piano specializzate nella gestione degli incidenti per risolvere il Suo problema. «E pertanto, partendo da quel tipo di osservazione dall’alto, molte persone potrebbero essere soggette a un pregiudizio di segnalazione, il che può spiegare questa disparità».
Ma se gli attacchi fossero diminuiti?
Naturalmente, in questa fase iniziale, molti dei fattori sopra descritti sono ancora considerati ipotesi. Rimane la possibilità — nonostante le lievi discrepanze occasionali nei dati forniti dalle diverse organizzazioni — che gli attacchi ransomware siano effettivamente diminuiti negli ultimi tempi.
Se così fosse, potrebbero esserci alcuni fattori che contribuiscono a tale situazione, quali:
- Sanzioni contro la Russia: La Russia, da tempo considerata un rifugio sicuro per le numerose bande di autori di ransomware che operano all’interno dei suoi confini, potrebbe aver ostacolato gli operatori di ransomware. (si apre in una nuova scheda)
- Importanti operazioni di ransomware sono state smantellate o bloccate: Dopo un periodo particolarmente prolifico, il gruppo di ransomware Conti sembra essersi sciolto a maggio, (si apre in una nuova scheda) a seguito di fughe di notizie interne che hanno rivelato i meccanismi interni della banda e il suo messaggio pubblico (e molto impopolare) di alleanza con la Russia nel conflitto tra Russia e Ucraina.
Qualunque sia la ragione dell’apparente calo degli episodi di ransomware, il CTI continuerà a monitorare la situazione. Continueremo a considerare il ransomware come una minaccia prioritaria e, con il progredire dell’anno, avremo un quadro più chiaro dei fattori che determinano il numero di attacchi segnalati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Tim Starks ha illustrato in modo eccellente come i dati statistici riportati da varie fonti di intelligence e agenzie governative possano talvolta presentare delle variazioni e, in alcuni casi, anche variazioni notevoli. Spesso è fin troppo facile cadere nella trappola di riporre una fiducia cieca nei dati che ci vengono presentati, in particolare quando tali dati provengono da un’entità che nel corso del tempo si è dimostrata una fonte affidabile di informazioni.
CTI continuerà a monitorare diverse fonti di dati statistici relativi al ransomware, prestando attenzione a eventuali sviluppi significativi che potrebbero potenzialmente influire sul livello di rischio rappresentato dalle bande di ricattatori per Tanium e per i suoi fornitori, partner e clienti.”
2. Infostealer è il payload preferito dall’APT russo Shuckworm nelle operazioni rivolte contro l’Ucraina
Un recente post pubblicato sul blog “ ” di Symantec (si apre in una nuova scheda) descrive in dettaglio le nuove attività di Shuckworm osservate dall’azienda di sicurezza, che finora hanno preso di mira l’Ucraina e sembrano consistere nella diffusione di malware finalizzato al furto di informazioni nelle reti bersaglio.
Secondo Symantec, l’attività era ancora in corso nel mese di 8 agosto 2022, e gran parte dell’attività osservata in questa campagna è coerente con quella evidenziata da , segnalata dal CERT-UA (si apre in una nuova scheda) su 26 luglio 2022.
Shuckworm: un gruppo legato alla Russia gestisce #Ucraina Focus - #Gamaredon, #Armageddon le attività dannose proseguono, #infostealer è il payload nell’ultima attività. Read blog for latest IoCs: symantec-enterprise-blogs.security.com/blogs/threat-i… #Russia #cyberattacks #Shuckworm
Che cos’è lo Shuckworm?
Shuckworm (noto anche come Gamaredon o Armageddon) è un gruppo legato alla Russia che, sin dalla sua prima comparsa nel 2014, ha concentrato le proprie operazioni quasi esclusivamente sull’Ucraina. È generalmente considerata un’operazione di spionaggio sponsorizzata dallo Stato (si apre in una nuova scheda), che i servizi segreti ucraini (SSU) hanno collegato all’FSB.
I servizi segreti ucraini hanno attribuito a tale gruppo la responsabilità di operazioni informatiche rivolte contro migliaia di enti pubblici, privati e governativi nel Paese, volte a raccogliere informazioni, ostacolare le operazioni e assumere il controllo di infrastrutture critiche.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«In questa narrazione vi sono due temi degni di nota che meritano di essere approfonditi. Il primo è il crescente ricorso a malware finalizzato al furto di informazioni (comunemente denominati “info-stealer”) da parte di autori di minacce di ogni tipo. Intel 471 afferma che, dall’inizio del 2022, la società specializzata in intelligence sulle minacce informatiche ha osservato un aumento del 150% nel numero di programmi di furto di dati disponibili sul dark web (si apre in una nuova scheda), rispetto allo stesso periodo del 2021. Ciò costituisce una chiara indicazione della forte domanda di tali prodotti da parte degli autori di minacce informatiche, nonché un'indicazione dell'elevato grado di successo degli attacchi che tale software può contribuire a determinare.
Il secondo aspetto degno di nota è il fatto che, secondo quanto riportato da Symantec, Shuckworm abbia finora limitato la propria attività agli attacchi contro soggetti ucraini. Nonostante i vari rapporti disponibili al pubblico sulle attività del gruppo, Shuckworm sembra non lasciarsi scoraggiare dalla pubblicità e le sue operazioni proseguono senza sosta. Shuckworm potrebbe non essere l’elemento più sofisticato nella gerarchia degli attori malintenzionati sostenuti dallo Stato russo, ma – come sottolineato da Symantec – compensa ampiamente le proprie carenze tecniche con la tenacia, la perseveranza e l’inesorabilità con cui attacca le proprie vittime.
Come nel caso della maggior parte dei malware e delle TTP utilizzati dai partecipanti al conflitto tra Russia e Ucraina, il rischio principale è quello di un “contagio” alle organizzazioni, alle reti e alle infrastrutture critiche occidentali – una minaccia che è stata costantemente descritta in dettaglio dall’ , dalla CISA e dalla sua iniziativa “Shields Up”. (si apre in una nuova scheda)”
3. UNC3890 Si sospetta che l’attività degli hacker iraniani abbia preso di mira i settori israeliani dei trasporti marittimi, della sanità, della pubblica amministrazione e dell’energia
Un recente rapporto di Mandiant descrive in dettaglio il monitoraggio da parte dell’azienda di UNC3890 (si apre in una nuova scheda), un insieme di attività mirate contro organizzazioni israeliane operanti nei settori dei trasporti marittimi, governativi, energetici e sanitari, mediante esche di ingegneria sociale e un potenziale “watering hole”. Mandiant ritiene che l’attore sia legato all’Iran e che probabilmente svolga attività di spionaggio a sostegno degli interessi iraniani.
Che cos’è il UNC3890?
- UNC è l'abbreviazione di “non classificato” e si riferisce a un gruppo di attività. L’operazione si avvale di diversi strumenti disponibili al pubblico, quali Metasploit, Unicorn e NorthStar C2, oltre ad almeno due strumenti esclusivi: una backdoor denominata SUGARUSH e uno strumento per il furto delle credenziali del browser denominato SUGARDUMP.
- Mandiant Ha iniziato a monitorare l’entità UNC3890 alla fine del 2021, quando è stato osservato che prendeva di mira entità israeliane e mostrava interesse per settori quali quello governativo, dei trasporti marittimi, dell’energia, dell’aviazione e sanitario. Sebbene la maggior parte degli attacchi sembri concentrarsi su Israele, alcune delle entità prese di mira dal gruppo nel settore marittimo erano società globali, il che comporta un potenziale impatto che va oltre i confini di Israele.
- Mandiant è riuscito innanzitutto a individuare gli implant utilizzati da UNC3890 dopo la fase di sfruttamento, ma è stato anche in grado di individuare alcuni elementi che potrebbero far luce anche sulle metodologie di accesso iniziali del gruppo.
- È stato individuato un potenziale "watering hole" di tipo " " (si apre in una nuova scheda) ospitato sulla pagina di accesso di una legittima compagnia di spedizioni israeliana, che secondo i ricercatori sarebbe stata probabilmente compromessa da UNC3890. Una volta acceduto alla pagina di login legittima, l’utente invierebbe una richiesta POST, contenente i dati preliminari relativi all’utente che ha effettuato l’accesso, a un malintenzionato. Si ritiene che il “watering hole” sia stato utilizzato per prendere di mira i clienti e gli utenti della compagnia di navigazione. Mandiant ha rilevato un ulteriore tentativo di attacco sferrato dal gruppo ai danni di un’altra importante compagnia di navigazione israeliana, che presenta caratteristiche compatibili con la tecnica del “watering hole”.
- Several domains resolving to UNC3890’s C2 servers masqueraded as legitimate services and entities, including LinkedIn, Pfizer, Facebook, and Office 365. È probabile che i domini siano stati utilizzati per sottrarre credenziali relative al servizio legittimo, per inviare messaggi di phishing del tipo “ ”, oppure nel tentativo di mimetizzarsi con il traffico di rete previsto. Mandiant ha inoltre individuato un server UNC3890 che ospitava diversi file ZIP contenenti contenuti estratti dagli account Facebook e Instagram di persone reali.
- Si è osservato che l’operazione si avvale di un file XLS concepito per attirare la vittima con una falsa offerta di lavoro. Il file installa SUGARDUMP, uno strumento per il furto di credenziali. L'offerta di lavoro fasulla riguarda una posizione come sviluppatore di software presso LexisNexis.
- Dopo aver ottenuto l’accesso iniziale, il gruppo si avvale di un’ampia gamma di strumenti per accedere all’ambiente e assumerne il controllo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’esca costituita da false offerte di lavoro sembra guadagnare popolarità tra gli autori delle minacce negli ultimi tempi (senza contare che si tratta di una tecnica storicamente diffusa, in particolare tra gli autori delle minacce legati all’Iran) e UNC3890 è solo l’ultimo gruppo ad aver aderito a questa tendenza.
Ciò che contraddistingue leggermente il programma UNC3890 è il fatto che si rivolga alle compagnie di navigazione. Poiché non è chiaro a quali dati esattamente abbia avuto accesso l’autore della minaccia quando, secondo quanto riferito, avrebbe messo in atto un attacco “watering hole” ai danni di una compagnia di navigazione israeliana, non è chiaro quale fosse esattamente l’obiettivo finale. Ciononostante, l’utilizzo, nell’ambito di tali operazioni, di strumenti personalizzati per la raccolta di credenziali e di backdoor è indicativo di un livello più elevato di sofisticazione da parte degli autori degli attacchi.
Visiti la nostra raccolta di contenuti sulla sicurezza informatica
Desidera saperne di più sugli ultimi sviluppi in materia di sicurezza informatica? Offriamo un’ampia selezione di articoli, post sul blog e video dedicati alla sicurezza informatica. Vi invitiamo a dare un’occhiata alle nostre storie in primo piano.
