Il primo argomento trattato nella rassegna di questa settimana è un'analisi approfondita delle ultime informazioni relative al ransomware provenienti da 2022, raccolte dalla società di analisi blockchain Chainalysis. Successivamente, CTI analizza in modo approfondito una nuova backdoor che riprende alcune caratteristiche del progetto Hive della Central Intelligence Agency (CIA). Infine, concludiamo con un’analisi della recente ondata di attacchi sferrati dall’attore malintenzionato cinese BackdoorDiplomacy e con un rapporto di Unit42, secondo cui sarebbero stati rilevati sistemi appartenenti a domini governativi iraniani che tentavano di connettersi a un’infrastruttura di malware precedentemente identificata come associata a tale attore malintenzionato.
1. I profitti derivanti dal ransomware sono diminuiti del 40% nel 2022 , poiché le vittime si rifiutano di pagare
Year-end reporting from blockchain analytics company Chainalysis reveals that ransomware gangs successfully extorted roughly $456,8 million from victims in 2022 — a drop of about 40% compared to the record-setting $756 million pilfered from ransomware victims in the previous two years.
Prima di stappare lo champagne, Chainalysis ci ricorda che i dati effettivi potrebbero essere di gran lunga superiori, poiché ci saranno sempre indirizzi di criptovalute controllati da bande di autori di ransomware che non sono ancora stati identificati e inseriti nei dati dell’azienda.
Secondo Chainalysis, la tendenza al ribasso dei profitti non è dovuta a una diminuzione della frequenza degli attacchi ransomware, bensì a un aumento del numero di vittime che si rifiutano di cedere alle richieste dei propri estorsori.
General ransomware trends in 2022
Il ransomware continua a essere molto attivo
Nonostante il calo dei profitti generati dal ransomware, il 2022 sarebbe stato, secondo quanto riferito, uno degli anni più intensi in termini di attività complessiva legata al ransomware. Thousands of different file-encrypting malware strains targeted organizations of all sizes across nearly all verticals, and 2022 saw several top-tier extortion syndicates retire, splinter into new operations, or simply rebrand, making way for the emergence of a wide range of new ransomware operations.
Impennata di varianti di ransomware inedite
2022 saw a huge increase in the number of unique ransomware variants in operation. L’azienda specializzata in sicurezza informatica Fortinet riferisce che oltre 10.000 unique varianti erano attive solo nel primo semestre del 2022 . Chainalysis conferma questa valutazione, affermando che il numero di ceppi attivi è cresciuto in modo esponenziale negli ultimi anni.
Tuttavia, la maggior parte dei proventi derivanti dal ransomware sembra essere costantemente accaparrata da un ristretto gruppo di operazioni di ransomware particolarmente efficaci. Tuttavia, ciò non significa che questo gruppo di “leader del settore” sia composto, anno dopo anno, dalle stesse realtà operative; secondo quanto riferito, Chainalysis ha osservato un notevole ricambio nel corso dell’anno tra le varietà con il maggior fatturato.
Pochi cambiamenti nelle tattiche di riciclaggio di denaro
I dati di Chainalysis indicano che la maggior parte degli autori di attacchi ransomware continua a trasferire i propri profitti illeciti verso exchange tradizionali e centralizzati – una tendenza che, a parte alcuni casi isolati, sembra essere rimasta pressoché immutata almeno dal 2018. Per quanto riguarda i metodi di riciclaggio di denaro preferiti dagli autori di attacchi ransomware nel 2022, le bande di estorsori hanno fatto ricorso alle seguenti risorse e tattiche:
- Exchange a rischio meno elevato: I proventi derivanti dal ransomware inviati verso exchange ad alto rischio sono scesi dal 10,9% al 6,7% nel 2022.
- Diminuzione dei servizi illeciti: Anche i profitti riciclati tramite servizi illeciti, quali i mercati del darknet, hanno registrato una diminuzione di alcuni punti percentuali nel 2022.
- Piattaforme di scambio più diffuse: secondo il rapporto “ 2022 ”, si è registrato un aumento della dipendenza delle bande di ransomware dalle piattaforme di scambio più diffuse a fini di riciclaggio di denaro, passata dal 39,3% nel 2021 al 48,3% lo scorso anno.
- Maggiore diversificazione: Lo scorso anno si è registrato inoltre un aumento del numero di articoli inviati a una combinazione di servizi per la pulizia. Questo, unitamente al fatto che una quota maggiore dei profitti viene trasferita verso exchange affidabili e tradizionali, sembrerebbe indicare che le operazioni di ransomware stiano raggiungendo una maggiore maturità e gestiscano le proprie finanze in un modo che ricorda quello delle entità aziendali legittime. Sono pochi coloro che puntano tutto su un’unica opzione, e ancora meno quelli che si affidano a servizi illeciti (noti per la loro instabilità, gestiti da criminali e soggetti in qualsiasi momento a interventi delle forze dell’ordine).
Le vittime non pagano
Ci sono volute forse molte dure lezioni, miliardi di dollari di perdite e innumerevoli avvertimenti da parte delle forze dell’ordine e delle agenzie di sicurezza informatica di tutto il mondo affinché le migliori pratiche in materia di ransomware iniziassero a prendere piede, ma sembra che nel 2023 si stia forse voltando pagina per quanto riguarda il modo in cui le organizzazioni prevengono, si preparano e rispondono agli attacchi di ransomware e alle estorsioni.
Tattiche da dilettanti
Sebbene le tattiche, le tecniche e le procedure (TTP) utilizzate dai principali autori di attacchi ransomware non siano mai state così avanzate come lo sono attualmente, un numero crescente di vittime determinate si rifiuta di cedere alle loro richieste. L’azienda specializzata in intelligence sulle minacce informatiche Coveware afferma che tale fenomeno è emerso per la prima volta come tendenza identificabile nei propri dati statistici nel 2019 e che, da allora, la percentuale di vittime disposte a pagare è in costante calo.
Nel caso di Coveware, l’azienda attribuisce in gran parte la diminuzione del numero di pagamenti all’uso di quelle che Coveware definisce tattiche “da dilettanti” da parte degli autori degli attacchi ransomware. Tra tali tattiche figura una delle nostre preferite: attacchi ripetuti contro una vittima nell’arco di giorni o settimane da parte dello stesso autore, molti dei quali spesso ricorrono a diverse varianti di malware nel vano tentativo di mascherare la propria metodologia.
La bassa barriera all’ingresso porta a un’esplosione del numero di bande di hacker dilettanti specializzate in ransomware
Coveware afferma che le vittime di attacchi ransomware che hanno scelto di pagare il riscatto stanno riscontrando sempre più spesso un “calo di qualità e affidabilità” quando si tratta di ripristinare rapidamente i sistemi compromessi seguendo le istruzioni degli autori degli attacchi e utilizzando i loro strumenti di decrittazione.
Ciò è indubbiamente legato a un’impennata nel numero di gruppi di ransomware, che spuntano come funghi con poca o nessuna esperienza e ricorrono a tattiche approssimative e dilettantistiche — una situazione derivante dalla combinazione di vari fattori, quali la fuga di codice sorgente da importanti operazioni di ransomware-as-a-service (RaaS), il fatto che i collaboratori a contratto nel settore del ransomware stiano abbandonando in massa le operazioni RaaS più professionali per mettersi in proprio alla ricerca di profitti più elevati e, ultimo ma certamente non meno importante, la proliferazione di offerte di ransomware estremamente economiche, solitamente accompagnate da strumenti di decrittazione non funzionanti e prive di un supporto tecnico degno di nota per gli affiliati. Ehi, si ottiene ciò per cui si paga, giusto?
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Come già sottolineato in precedenza da CTI, il caso 2023 sembra rappresentare un punto di svolta per l’ecosistema del ransomware per una serie di ragioni. First and foremost, 2022 was the first year when the number of ransomware victims that decided not to pay was higher than those that decided to submit to their extortionists’ demands. Come riportato da BleepingComputer, questo cambiamento di comportamento “evidenzia un mutamento nella percezione e nell’approccio alla gestione degli attacchi ransomware”.
«Questo cambiamento sembra debbere in parte alle stesse linee guida sul ransomware che il CTI e altri professionisti della sicurezza hanno sempre proposto quando trattano questioni relative al ransomware. Le vittime hanno finalmente iniziato a rendersi conto che il pagamento di un riscatto non garantisce in alcun modo il recupero dei propri dati, né implica che gli autori dell’attacco cancelleranno i file rubati. In alcuni casi, ciò potrebbe persino comportare conseguenze legali – in particolare qualora venisse effettuato un pagamento a un gruppo che risulti essere stato sottoposto a sanzioni da parte del governo federale degli Stati Uniti.”
«Inoltre, l’opinione pubblica sembra aver modificato il proprio modo di considerare gli attacchi ransomware. Questo cambiamento di mentalità è probabilmente il risultato del fatto che le vittime di attacchi ransomware stanno diventando sempre più disponibili e sincere nei confronti dell’opinione pubblica a seguito di un incidente di questo tipo. Di conseguenza, i clienti, i partner e il settore nel suo complesso sembrano aver acquisito maggiore maturità nel modo in cui reagiscono alle notizie. Si registrano meno giudizi di condanna e meno attacchi verbali, e tutto ciò ha portato a una notevole riduzione degli impatti negativi sulla reputazione del marchio e dell’erosione della fiducia dei consumatori, che in passato erano la conseguenza inevitabile degli attacchi ransomware di grande risonanza.”
“È inoltre utile il fatto che le organizzazioni di ogni tipo abbiano adottato strategie di backup più efficaci (in parte grazie ai requisiti più rigorosi imposti dagli assicuratori specializzati in rischi informatici e ransomware), rendendo il ripristino autonomo dell’infrastruttura un’opzione realmente praticabile in caso di attacco.”
“Naturalmente, sebbene le statistiche e le evoluzioni culturali sopra descritte siano certamente incoraggianti, gli attacchi ransomware continuano a rappresentare una minaccia globale per ogni settore e per le organizzazioni che ne fanno parte, indipendentemente dalle loro dimensioni. Le piccole e medie imprese continuano a essere esposte a un rischio maggiore, così come le organizzazioni in possesso di dati che potrebbero facilitare ulteriori attacchi e quelle che realizzano prodotti che costituiscono componenti diffusi della catena di fornitura del software .”
2. È stata individuata in circolazione una nuova backdoor creata utilizzando il malware “Hive” della CIA, trapelato in precedenza
Su novembre 2017 sono stati pubblicati e resi accessibili il codice sorgente e i registri di sviluppo relativi a a Hive — uno dei principali strumenti utilizzati dalla CIA per gestire il proprio malware — . Hive fornisce «una piattaforma di comunicazione segreta che consente a un’ampia gamma di malware della CIA di inviare le informazioni sottratte ai server della CIA e di ricevere nuove istruzioni dagli operatori della CIA». Hive è in grado di gestire più operazioni contemporaneamente, prelevando informazioni da – e inviandole a – diversi dispositivi impiantati nei computer di destinazione.
Nell’ultimo preoccupante sviluppo di questa vicenda, i ricercatori della società di sicurezza 360Netlab hanno scoperto una nuova backdoor che riprende alcune caratteristiche del progetto Hive della CIA.
Informazioni sulla backdoor Hive
Nel 360Netlab è stato individuato un file ELF sospetto verso la fine del 2022. Il file si è diffuso sfruttando una vulnerabilità F5 e ha comunicato tramite SSL utilizzando certificati Kaspersky contraffatti.
Ulteriori analisi del campione hanno confermato che esso deriva dal codice sorgente del server del progetto Hive della CIA, trapelato. I ricercatori hanno denominato questa backdoor — o variante — “ “xdr33”.
Lo scopo principale di questa backdoor è quello di raccogliere informazioni e fornire un punto d’appoggio per futuri attacchi. I suoi due compiti principali sono quelli di segnalatore e di attivatore.
- Il beacon invia periodicamente informazioni relative al dispositivo al sistema di comando e controllo del beacon (C2), il cui indirizzo è predefinito, ed esegue i comandi da esso ricevuti.
- Il trigger monitora il traffico relativo al trigger C2, stabilisce la comunicazione con il trigger C2 e attende l’esecuzione dei comandi da esso impartiti.
- 360Netlab ricercatori ritengono che l’33 may e XDR abbia già subito diverse serie di aggiornamenti iterativi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Per chiunque fosse interessato, il rapporto 360Netlab’s contiene dettagli tecnici approfonditi sul xdr33. Sebbene le caratteristiche del xdr33 non siano necessariamente innovative, il 360Netlabs afferma che questa è la prima volta che è stata individuata una variante del kit di attacco “Hive” della CIA in ambiente reale.
3. Gli enti governativi iraniani sono oggetto di una nuova ondata di attacchi denominati “BackdoorDiplomacy”
Un recente rapporto intitolato “”, redatto dall’Unit 42 di Palo Alto, descrive in dettaglio una nuova ondata di attacchi attribuiti all’attore malintenzionato cinese noto come BackdoorDiplomacy.
L’Unit 42 sostiene di aver rilevato domini del governo iraniano che tentavano di connettersi a un’infrastruttura di malware precedentemente associata a tale attore malintenzionato.
Informazioni su BackdoorDiplomacy
BackdoorDiplomacy (noto anche come APT15, Vixen Panda, KeChang, NICKEL e Playful Taurus) è un gruppo cinese di minacce persistenti avanzate (APT), sostenuto dallo Stato, noto per condurre campagne di spionaggio informatico. Si ritiene che il gruppo sia attivo almeno dal 2010 e che, storicamente, abbia preso di mira enti governativi e diplomatici di interesse per Pechino nelle Americhe, in Africa e in Medio Oriente.
A metà del 2021, ESET ha approfondito l’analisi di BackdoorDiplomacy e del toolkit aggiornato dell’APT, che all’epoca includeva una nuova backdoor denominata Turian. Turian sembra essere ancora in fase di sviluppo attivo e l’Unità 42 ritiene che sia utilizzato esclusivamente dagli autori delle minacce di BackdoorDiplomacy. Da allora sono state individuate nuove varianti della backdoor, oltre a una nuova infrastruttura di comando e controllo (C2).
Infrastruttura di BackdoorDiplomacy
Il dominio vpnkerio[.]com, precedentemente identificato come , è stato identificato come nell’ambito di una campagna denominata “BackdoorDiplomacy” che ha preso di mira enti diplomatici e società di telecomunicazioni in Africa e in Medio Oriente. Da allora, questo dominio e i relativi sottodomini hanno cambiato provider di hosting, adottando diversi nuovi indirizzi IP, con molti dei sottodomini che puntano a un unico indirizzo IP.
L'analisi di un indirizzo IP ha rivelato la presenza di un certificato X.509 scaduto associato al Ministero degli Affari Esteri del Senegal. Sebbene il certificato sia scaduto nel aprile 2021, esso è tuttora associato a un’infrastruttura correlata di recente creazione.
L'Unità 42 ha analizzato tutti gli indirizzi IP associati al certificato e ritiene che quest'ultimo fosse originariamente associato a un'infrastruttura legittima del governo senegalese. A seguito della sua scadenza, il certificato è stato associato a nove diversi indirizzi IP (decisamente non appartenenti al governo senegalese), otto dei quali hanno ospitato domini di BackdoorDiplomacy in momenti diversi.
L’Unità 42 ha monitorato le connessioni a questa infrastruttura dannosa e ha rilevato che, tra luglio e dicembre del 2022, quattro organizzazioni iraniane hanno tentato di connettersi a uno degli indirizzi IP dannosi.
All’interno del perimetro recintato
L'indagine dell'Unità 42’s ha inoltre rivelato l'esistenza di un indirizzo IP ospitato che sembra corrispondere a un dominio legittimo appartenuto al Ministero degli Affari Esteri dell'Iran tra maggio e novembre del 2019. Questo dominio si trova inoltre su un blocco di indirizzi IP che ospita altri domini associati al governo iraniano, il che suggerisce che esso appartenga effettivamente al governo iraniano.
La particolarità in questo caso è che, a partire dal settembre 2021, questo indirizzo IP ha ospitato anche il dominio sospetto mfaantivirus[.]xyz. Considerata la natura legittima degli altri siti governativi ospitati in questo specifico spazio di indirizzi, xyz appare come un TLD piuttosto insolito.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«BackdoorDiplomacy sta chiaramente continuando a perfezionare le proprie tattiche e i propri strumenti, come dimostrano la versione aggiornata della backdoor Turian e la nuova infrastruttura C2 .»
“Come osservato dall’Unità 42, l’aggiornamento degli strumenti e delle infrastrutture potrebbe indicare che BackdoorDiplomacy continui a ottenere risultati positivi nelle proprie campagne di spionaggio informatico. L’Unità 42 ha inoltre sottolineato che, sebbene questa campagna sembri essere diretta contro enti governativi iraniani, BackdoorDiplomacy ha storicamente impiegato le stesse tecniche, tattiche e procedure (TTP) contro enti in tutto il Nord e il Sud America, in Africa e in Medio Oriente.
Rimanga aggiornato sulle ultime notizie relative alle informazioni sulle minacce informatiche fornite da consultando la nostra raccolta di rapporti di sintesi.