Nella rassegna di questa settimana, CTI fa luce su Octo Tempest, un attore malintenzionato mosso da motivazioni finanziarie che ricorre all’ingegneria sociale per compromettere organizzazioni a livello globale. In seguito, CTI ha analizzato un rapporto secondo cui l’attività dei ransomware nel mese di settembre ha raggiunto il livello più alto degli ultimi 2023. È inoltre inclusa una panoramica su come il RAT open source Quasar sfrutti il sideloading delle DLL per sottrarre dati dagli host compromessi di Windows .
1. Octo Tempest rappresenta una minaccia per le organizzazioni globali
Microsoft sta monitorando le attività relative all’attore malintenzionato con motivazioni finanziarie Octo Tempest (si apre in una nuova scheda), noto per sferrare attacchi che impiegano tecniche di tipo “adversary-in-the-middle” (AiTM), ingegneria sociale e capacità di SIM-swapping.
Secondo Microsoft, il gruppo si sta evolvendo rapidamente e sta sfruttando una vasta gamma di minacce, tattiche e procedure (TTP) per muoversi all’interno di complessi ambienti ibridi. Octo Tempest presenta inoltre alcune sovrapposizioni con altri gruppi di minaccia, tra cui 0ktapus, Scattered Spider e UNC3944.
Cronologia di Octo Tempest
2022: Inizialmente, è stato osservato che il gruppo prendeva di mira operatori di telecomunicazioni mobili e organizzazioni di outsourcing dei processi aziendali per effettuare operazioni di sostituzione della SIM. Ha iniziato a trarre profitto dagli attacchi vendendo operazioni di sostituzione delle SIM ad altri criminali informatici ed effettuando prese di controllo degli account per sottrarre criptovalute.
Tra la fine del 2022 e l’inizio del 2023: Octo Tempest iniziò ad ampliare il proprio raggio d’azione per rivolgersi alle aziende operanti nei settori delle telecomunicazioni via cavo, della posta elettronica e della tecnologia. Il gruppo ha iniziato a trarre profitto dalle intrusioni ricattando le proprie vittime per ottenere i dati rubati e, in alcuni casi, ricorrendo a minacce fisiche.
Metà del 2023: Octo Tempest è entrata a far parte del gruppo BlackCat RaaS . Ciò è degno di nota in quanto Octo Tempest è un gruppo di lingua inglese con cui molti gruppi di ransomware si rifiutano di intrattenere rapporti commerciali.
Giugno 2023: Octo Tempest ha iniziato a distribuire payload del ransomware BlackCat, concentrandosi sui server ESXi. Il gruppo ha nuovamente ampliato il proprio raggio d’azione ai settori delle risorse naturali, del gioco d’azzardo, dell’ospitalità, dei beni di consumo, della vendita al dettaglio, dei fornitori di servizi gestiti (MSP), della produzione, del diritto, della tecnologia e dei servizi finanziari.
Accesso iniziale
Octo Tempest ricorre comunemente ad attacchi di ingegneria sociale per prendere di mira gli amministratori tecnici dotati di autorizzazioni di alto livello. L'autore dell'attacco svolge ricerche per identificare le persone e ne assume l'identità per effettuare chiamate telefoniche e raccogliere le informazioni necessarie a indurre le vittime a reimpostare le password e a utilizzare metodi di autenticazione a più fattori (MFA).
Il gruppo ricorre solitamente a uno dei seguenti metodi per ottenere l'accesso iniziale:
- Contattare un dipendente e indurlo con l’inganno a installare strumenti di gestione remota (RMM) o a visitare un sito utilizzando un toolkit AiTM.
- Contattare l’help desk di un’organizzazione per reimpostare una password.
- L'acquisto delle credenziali di un dipendente sul dark web.
- Attuazione di attacchi di phishing tramite SMS e.
- Avvio della procedura di sostituzione della SIM.
In un caso, Octo Tempest ha fatto ricorso a minacce fisiche nei confronti delle vittime per indurle a rivelare le credenziali di accesso all’azienda.
Ricognizione e scoperta
Octo Tempest esegue operazioni di enumerazione e raccolta di informazioni al fine di ottenere un accesso privilegiato. L'attore effettuerà un'esportazione iniziale in blocco di utenti, gruppi e informazioni sui dispositivi prima di enumerare i dati e le risorse disponibili per quel profilo utente.
L’attore effettua frequentemente ricerche per individuare documenti relativi all’architettura di rete, alla procedura di onboarding, ai metodi di accesso remoto, alle politiche relative alle password e agli archivi di credenziali. Successivamente, approfondiranno gli ambienti multi-cloud, l’enumerazione dei database e i container di archiviazione.
Elevazione dei privilegi e accesso alle credenziali
Octo Tempest acquisirà privilegi superiori avviando uno swap della SIM o configurando il trasferimento di chiamata sul numero di telefono di un dipendente, in modo che questi possa avviare la procedura di reimpostazione della password in modalità self-service per il proprio account. È stato inoltre osservato che contattano direttamente il servizio di assistenza di un’organizzazione, ricorrendo a tecniche di ingegneria sociale per indurre il personale addetto a reimpostare una password di amministratore o a modificare/aggiungere un token MFA.
Queste tattiche di escalation dei privilegi si basano sulla creazione di un rapporto di fiducia. In alcuni casi, l’autore dell’attacco utilizza l’account compromesso di un dirigente per approvare le richieste di reimpostazione della password. Utilizzano strumenti open source per automatizzare l’identificazione di chiavi, dati riservati e credenziali in chiaro presenti nei repository di codice, al fine di riutilizzarli in futuro.
Evasione difensiva
L'autore dell'attacco comprometterà gli account del personale addetto alla sicurezza per disattivare i prodotti e le funzionalità di sicurezza, nel tentativo di eludere il rilevamento. Questi account compromessi sfruttano poi l’ EDR e e la tecnologia di gestione dei dispositivi per consentire l’utilizzo di strumenti dannosi, installare software RMM, apportare modifiche ai prodotti di sicurezza, sottrarre file sensibili e distribuire payload. Andando oltre, Octo Tempest modificherà le regole delle caselle di posta elettronica del personale addetto alla sicurezza compromesso, in modo da eliminare automaticamente le e-mail provenienti da fornitori che potrebbero destare sospetti.
Perseveranza
Gli attacchi di Octo Tempest utilizzano strumenti disponibili pubblicamente per garantire la persistenza. Ad esempio, talvolta utilizzano strumenti come AADInternals per federare domini esistenti oppure si spacciano per domini legittimi e aggiungono o federano il nuovo dominio. L'attore installerà diversi strumenti RMM e apporterà modifiche alla rete per consentire l'accesso. L'utilizzo di reverse shell è stato riscontrato in numerose intrusioni di Octo Tempest, sia su endpoint Windows che su Linux .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Octo Tempest è un attore sofisticato che, in un breve lasso di tempo, ha messo insieme un arsenale piuttosto ampio di TTP. Il suo ampio raggio d’azione, che abbraccia numerosi settori, appare piuttosto opportunistico, ma comunque determinato. L’autore dell’attacco sta sfruttando un’ampia gamma di sofisticate tattiche di ingegneria sociale per ottenere l’accesso iniziale, il che lo rende, come sottolinea Microsoft , «uno dei gruppi criminali finanziari più pericolosi». Le loro complesse tattiche di ingegneria sociale, unite al fatto che siano affiliati a BlackCat, rendono Octo Tempest un attore malintenzionato da tenere sotto stretta osservazione.
L'approfondito rapporto di Microsoft tratta numerose altre tattiche, procedure e prassi (TTP) di Octo Tempest, rendendolo una lettura consigliata.
2. A settembre si registra un picco nell’attività dei ransomware
NCC Group ha pubblicato il proprio rapporto di analisi intitolato “ settembre 2023”, in cui vengono illustrati in dettaglio alcuni dei più recenti sviluppi nel panorama delle minacce legate all’ (si apre in una nuova scheda) — in particolare nel settore del ransomware. I loro dati indicano che l’attività dei ransomware nel mese di settembre ha raggiunto il livello più alto degli ultimi 2023 , dopo una fase di relativa calma registrata in agosto.
NCC Group sta monitorando i gruppi di ransomware che ricorrono alla tattica della doppia estorsione, tenendo sotto controllo i siti di divulgazione utilizzati da ciascun gruppo e raccogliendo i dati delle vittime man mano che vengono pubblicati. In base ai dati raccolti, nel mese di settembre 2023 si sono verificati 514 attacchi, con un aumento del 32% rispetto al mese precedente.
Sebbene agosto 2023 abbia registrato un calo del 22% degli attacchi ransomware, l’attività relativa a tali attacchi nel mese di settembre è tornata ai livelli massimi raggiunti a luglio. Secondo l’NCC Group e i dati da esso raccolti, si tratta del numero più elevato di attacchi di doppia estorsione mai registrato. Si è registrato inoltre un aumento del 153% dal sito settembre 2022 a quello settembre 2023, il che evidenzia un significativo incremento rispetto all’anno precedente.
I settori più colpiti dal ransomware
I settori interessati dall’operazione “ settembre 2023 ” non si sono discostati dalla norma. NCC Group ha rilevato che il settore industriale è stato quello maggiormente preso di mira, con 169 attacchi, pari al 33% del totale. Si tratta, tuttavia, solo di un aumento del 2% rispetto al mese precedente. Il settore tecnologico ha subito circa il 10% degli attacchi ransomware nel mese scorso, il che rappresenta un leggero aumento rispetto al mese precedente.
Nuovi autori di attacchi ransomware
Nel mese di settembre, i primi 10 autori di minacce hanno rappresentato complessivamente il 70% di tutti gli attacchi ransomware registrati nel mese. Come ogni altro mese, anche settembre ha visto la comparsa di diversi nuovi autori di ransomware.
Il nuovo arrivato LostTrust è stato responsabile del 10% degli attacchi, mentre RansomedVC ha rappresentato il 9%. NCC Group ha inoltre registrato un aumento dell’attività da parte di altri due gruppi relativamente nuovi: Cactus e Trigona. A settembre i casi di Cactus sono saliti a 51 , rispetto ai 13 registrati a luglio.
Le regioni più colpite dal ransomware
Le principali regioni di destinazione sono rimaste invariate nel mese di settembre, con il Nord America, l’Europa e l’Asia che hanno registrato il maggior volume di attività. Il Nord America è risultato in testa alla classifica, con il 50% degli attacchi, il che rappresenta un aumento del 3% rispetto al mese precedente.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È interessante notare che il server Cl0p non ha registrato praticamente alcuna attività nel mese di settembre e, nel complesso, non ha registrato un’attività particolarmente intensa dopo gli attacchi MOVEit. Si tratta di un profilo piuttosto basso per questa operazione di ransomware.
NCC Group ritiene che ciò sia una caratteristica distintiva del modello Cl0p. Per questo motivo, NCC Group prevede che una campagna più mirata sia imminente. Solo il tempo potrà dire se il gruppo Cl0p deciderà di tornare sulla scena del ransomware oppure no, ma, visto il loro comprovato successo e i risultati ottenuti in passato, non sarebbe una sorpresa.
3. Quasar RAT elude il rilevamento tramite il sideloading di DLL
È stato recentemente osservato che il RAT open source Quasar, denominato “ ” ( , si apre in una nuova scheda) (, ), sfrutta il sideloading delle DLL per sottrarre dati dagli host compromessi ( Windows ). Utilizza due file di Microsoft comunemente considerati affidabili — ctfmon.exe e calc.exe — per eseguire il sideloading di due DLL e introdurre, distribuire ed eseguire in modo occulto payload dannosi.
Esecuzione del sideloading di Quasar RAT
Uptycs fornisce un'analisi dettagliata, passo dopo passo, della tecnica di sideloading della DLL del RAT Quasar di . (si apre in una nuova scheda)
- L'attacco ha inizio quando l'autore dell'attacco sfrutta il file ctfmon.exe — un file autentico di Microsoft — per caricare una DLL dannosa. L'autore dell'attacco esegue quindi il file binario ctfmon.exe e acquisisce un payload di fase 1, incaricato di immettere nel sistema il file legittimo calc.exe e una DLL dannosa.
- Nella seconda fase dell'attacco, l'autore dell'attacco esegue il file calc.exe, che attiva la DLL dannosa. A questo punto, il Quasar RAT risiede nella memoria del computer. Il payload utilizza la tecnica dell’“hollowing” dei processi per integrarsi in un processo di sistema legittimo, rendendo più difficile il suo rilevamento.
Analisi tecnica
Uptycs ha ottenuto diversi file relativi al flusso di esecuzione del RAT Quasar a fini di analisi.
Quando il file binario ebill-997358806.exe viene eseguito, avvia il caricamento di un file denominato MsCtfMonitor.dll, che nasconde codice dannoso. All’interno di questo file è presente una sezione dedicata alle risorse contenente dati crittografati, a cui si accede tramite una sequenza di API. Una volta completata la decrittografia, questi dati vengono decrittografati e danno origine a un file PE che costituisce la fase 1, FileDownloader.exe. Il file PE viene quindi iniettato in Regasm.exe tramite una sequenza API.
- Fase 1 – FileDownloader.exe: Questo payload della fase 1 è un file binario MSIL a 64 bit e include una sezione risorse contenente tre file binari all’interno di un archivio. Questo payload è in grado di decomprimere l'archivio e di salvare i file nella cartella "Public Pictures". In questa cartella vengono inseriti tre file: Calc.exe (un file legittimo di Windows), Secure32.dll (una DLL dannosa) e Winsecu32.dll (un altro file legittimo di Windows ).
- Fase 2 – calc.exe: Calc.exe viene quindi eseguito e carica una DLL dannosa denominata Secure32.dll. Questa DLL contiene una sezione di risorse crittografata. Si accede nuovamente ai dati delle risorse tramite una sequenza di API, dopodiché vengono decriptati, ottenendo così un file PE. Questo file PE viene iniettato nello spazio di memoria di Regasm.exe tramite la tecnica del "process hollowing".
- Carico utile finale: Il file PE è un eseguibile MSIL offuscato tramite Smart Assembly. Sembra che sia ispirato al RAT open source Quasar, poiché reca la dicitura "Copyright © MaxXor 2020". Il processo di deoffuscamento ha rivelato che nella funzione venivano eseguiti comandi relativi, tra l’altro, al keylogging, al trasferimento di file e all’esecuzione di comandi nella shell. Inoltre, verrà generato uno script .bat per creare il file batch di riavvio. Il RAT stabilisce una connessione socket con il proprio C2 , al quale invierà le informazioni relative alla vittima.
Il RAT interroga le classi WMI “AntiVirusProduct” e “Firewall” e ricerca inoltre l’infrastruttura del BIOS, i dettagli della GPU, il nome host e altro ancora.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Quasar RAT sembra aver aderito alla tendenza del sideloading delle DLL, che negli ultimi mesi ha registrato un crescente successo.
L'autore di questa attività è al momento sconosciuto e probabilmente rimarrà tale, dato che Quasar RAT è un software open source, il che consente anche ad autori meno esperti di sferrare attacchi.
I ricercatori non sono riusciti a confermare il vettore di accesso iniziale di questo attacco. Tuttavia, poiché il flusso di esecuzione ha inizio con un file ISO , è molto probabile che abbia avuto origine da un’e-mail di phishing.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
