Nella rassegna di questa settimana, CTI fornisce un aggiornamento sul worm Raspberry Robin, che continua a evolversi e a sfruttare le vulnerabilità. Successivamente, CTI indaga su un attore malintenzionato con motivazioni finanziarie, identificato con il codice UNC4990 , che è stato osservato mentre utilizzava dispositivi “ USB ” per ottenere l’accesso iniziale in varie campagne. Infine, CTI esamina l’ultima analisi retrospettiva di Palo Alto sul ransomware per il modello 2023.
1. Il malware Raspberry Robin sfrutta alcune vulnerabilità
Check Point Research ha rilevato che il worm Raspberry Robin di (si apre in una nuova scheda) sfruttava due nuovi exploit di escalation dei privilegi locali “day-one” prima che fossero resi pubblici.
Oltre a sfruttare le vulnerabilità, Raspberry Robin ha anche modificato molte delle proprie TTP per evitare di essere individuato dalle firme comportamentali basate sulla sua versione precedente.
Che cos’è Raspberry Robin?
- Raspberry Robin (si apre in una nuova scheda) è un worm che si diffonde solitamente tramite unità USB . Il malware si avvale di msiexec.exe per connettersi alla propria infrastruttura e scaricare una DLL dannosa.
- Raspberry Robin è stato scoperto per la prima volta nel 2021 e da allora le sue TTP hanno continuato a evolversi. Funge da IAB, ovvero da broker di accesso iniziale, per altre famiglie di malware presenti nell’ecosistema. Per questo motivo, numerosi gruppi di hacker sono stati associati a Raspberry Robin.
- Da ottobre, Check Point Research sta rilevando ondate massicce di attacchi Raspberry Robin ai danni dei propri clienti. L’osservazione più significativa riguarda il fatto che il malware continui a sfruttare vari exploit relativi a vulnerabilità sia prima che poco dopo la loro divulgazione pubblica.
- Nei precedenti attacchi di tipo Raspberry Robin, il malware ha utilizzato diversi vettori di accesso iniziali, tra cui il più comune era un file LNK camuffato da file di tipo “ USB ” o da risorsa di rete condivisa.
In che modo Raspberry Robin sfrutta le vulnerabilità
Raspberry Robin dispone di numerosi metodi per elevare i privilegi, uno dei quali consiste nell’utilizzo di exploit per l’elevazione dei privilegi a livello locale del kernel. Tali vulnerabilità vengono crittografate e archiviate e vengono sfruttate solo qualora il dispositivo risulti vulnerabile a tali vulnerabilità. Nei campioni più recenti, il malware inietta gli exploit del kernel nel file cleanmgr.exe e inserisce un loader unico che risiede in memoria e carica un file PE esterno che costituisce di fatto l'exploit.
Il malware ha recentemente sfruttato la vulnerabilità CVE-2023-36802 , presente nel proxy del servizio di streaming Microsoft , che consente l’elevazione dei privilegi a livello di SYSTEM. È stato riscontrato che l’exploit relativo a questa vulnerabilità veniva venduto su forum del Dark Web all’indirizzo febbraio 2023 , ma non è stato reso pubblico né risolto fino al settembre 2023. Appena poche settimane dopo, Raspberry Robin ha iniziato a utilizzare la vulnerabilità nei propri attacchi.
Ultimi aggiornamenti su Raspberry Robin
Il flusso generale di Raspberry Robin è rimasto sostanzialmente invariato. Le diverse fasi del malware sono memorizzate in memoria in un formato personalizzato e il codice è fortemente offuscato in tutte le fasi, compreso il payload stesso. Il malware ha integrato alcuni nuovi metodi anti-analisi che vengono utilizzati per stabilire, nelle varie fasi, se debba o meno passare alla fase principale.
Il malware ha inoltre aggiunto alcune nuove funzionalità di elusione:
- La prima tecnica consiste in una strategia di elusione dello spegnimento che garantisce che il malware non venga interrotto al momento dello spegnimento del sistema.
- Quello che segue è un controllo del desktop remoto che verificherà semplicemente se la vittima si trovi o meno su un desktop remoto.
- L'ultimo è la capacità di interrompere l'esecuzione in caso di presenza di un driver di filtro UWF.
Il malware ha modificato solo leggermente la propria logica di movimento laterale, passando a utilizzare PAExec.exe anziché PsExec.exe.
Infine, il modo di comunicare di Raspberry Robin è cambiato. A questo punto inizierà a contattare domini Tor legittimi e a verificare se riceve o meno una risposta. Se non riceve alcuna risposta, non tenterà di comunicare con i C2 server effettivi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Abbiamo parlato per la prima volta di Raspberry Robin nell’articolo “ gennaio 2023”. Da allora, nell’ultimo anno circa, ha continuato a rappresentare una minaccia di rilievo, in parte a causa della sua capacità di evolversi e di modificare rapidamente le proprie tattiche, tecniche e procedure (TTP).
Raspberry Robin si è dimostrato rapido nell’adattarsi e nel passare a diverse vulnerabilità, in particolare quelle che non sono ancora state rese pubbliche o quelle rese note di recente.
Resta ancora da chiarire in che modo riescano a procurarsi continuamente tali vulnerabilità. È possibile che abbiano sviluppato essi stessi gli exploit oppure che abbiano semplicemente dei contatti con coloro che li sviluppano. In ogni caso, Raspberry Robin ha continuamente dimostrato la propria adattabilità.
2. Gli hacker utilizzano siti di hosting di notizie e contenuti multimediali per diffondere payload di malware di tipo “ USB ”
È stato individuato un attore malintenzionato motivato da interessi economici, identificato come UNC4990 (si apre in una nuova scheda) , in campagne che utilizzano dispositivi USB per ottenere l’accesso iniziale.
L'autore dell'attacco sfrutta piattaforme legittime quali GitHub, Vimeo e Ars Technica per ospitare payload codificati incorporati in contenuti innocui. L’autore dell’attacco nasconde inoltre i payload in bella vista, inserendoli nei profili degli utenti dei forum sui siti web di notizie tecnologiche o nelle descrizioni dei video sulle piattaforme di hosting multimediale.
Che cos’è il UNC4990?
UNC4990 (si apre in una nuova scheda) è stato identificato da Mandiant come un attore che utilizza principalmente dispositivi USB per ottenere l’accesso iniziale.
L'autore dell'attacco ha recentemente avviato una campagna che si ritiene sia in corso almeno dal 2020. Oltre ad avvalersi di dispositivi “ USB ” per l’accesso iniziale, l’autore dell’attacco sta continuamente evolvendo le proprie TTP, orientandosi ora verso l’hosting di payload su piattaforme popolari e legittime.
Accesso iniziale
Come già osservato, questo autore di minacce utilizza dispositivi USB per ottenere l’accesso iniziale. Mandiant Si è osservato che l’infezione ha avuto inizio quando una vittima ha effettuato un doppio clic su un file di collegamento LNK dannoso presente su un dispositivo rimovibile USB .
Il nome di questo file LNK era solitamente il nome del produttore del dispositivo, seguito dalla capacità di memoria tra parentesi. A tale nome è stata associata l’icona predefinita di Microsoft Windows per conferirgli un aspetto più attendibile. Facendo clic sul file si avvia lo script explorer.ps1 di PowerShell.
Informazioni sullo script “ PowerShell ”
I ricercatori hanno individuato diverse versioni di , di questo PowerShell script. Questo script ha il compito di scaricare e decodificare un payload aggiuntivo, che spesso era il downloader EMPTYSPACE.
In alcune varianti, lo script è stato aggiornato con una fase intermedia ospitata su GitHub. Le recenti varianti dello script “ PowerShell ” sono state caricate in memoria sotto forma di stringa codificata con il metodo “reverse Base64 ”.
Una volta scaricato il downloader EMPTYSPACE, lo script PowerShell verificherà in modo ciclico la presenza di python.exe ed eseguirà il malware appena scaricato ogni secondo qualora python.exe non fosse presente.
UNC4990 strategie per passare a piattaforme affidabili
L'autore dell'attacco è passato da GitHub a Vimeo per l'hosting del proprio payload in un momento imprecisato del 2023. Su Vimeo, il payload codificato è incluso nella descrizione di un video dei Pink Floyd caricato su Vimeo nel marzo del 2023. Lo script recupera il blob di Vimeo JSON che contiene il payload racchiuso tra determinati caratteri delimitatori. Tale payload viene quindi decriptato prima di essere eseguito.
Nel caso “ novembre 2023”, l’autore dell’attacco ha cambiato nuovamente strategia in relazione al proprio C2. Una volta che il video su Vimeo è stato ufficialmente rimosso, l’autore della minaccia ha iniziato a utilizzare il sito di notizie tecnologiche noto come Ars Technica.
Lo script, denominato explorer.ps1, è stato aggiornato per includere un collegamento fisso ( URL ) a un sito di Ars Technica. Con Ars Technica è stata utilizzata la stessa tecnica impiegata con Vimeo, con la differenza principale che il blob codificato è stato invece aggiunto all’immagine URL all’interno della sezione “Informazioni” di un profilo utente specifico.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna costituisce un ulteriore esempio di come gli autori delle minacce siano alla ricerca di nuovi metodi per eludere il rilevamento e operare nell’ombra.
Questa campagna si avvale in particolare di piattaforme legittime quali GitHub, Vimeo e siti di notizie tecnologiche che, di norma, non desterebbero alcun sospetto qualora un utente le visitasse. La tecnica che consiste nell’inserire payload all’interno di siti e contenuti legittimi può consentire a un autore di minacce di mimetizzarsi nel traffico legittimo e rendere difficile l’ Detecte.
Poiché Mandiant ha osservato l’evoluzione di questa campagna nel corso di diversi mesi, non sarebbe sorprendente vedere questo attore malintenzionato continuare a perfezionare le proprie TTP nel prossimo futuro.
3. Palo Alto segnala un aumento del 49% delle vittime di ransomware
Palo Alto ha pubblicato la sua analisi retrospettiva sul ransomware “ ” (si apre in una nuova scheda) per il 2023. Il dato saliente è che, secondo quanto riportato dai siti che divulgano informazioni sui ransomware, lo scorso anno si è registrato un aumento del 49% delle vittime di ransomware.
Vulnerabilità critiche
Palo Alto ha individuato 3.998 post su siti di divulgazione di dati in seguito a richieste di riscatto, rispetto ai soli 2.679 su 2022 (un aumento del 49%).
Essi attribuiscono questo significativo aumento ai numerosi exploit zero-day che sono stati scoperti nel corso dell’anno. Tra i principali casi di vulnerabilità figurano quelli relativi a GoAnywhere e a MOVEit.
I nuovi arrivati nel mondo del ransomware
Palo Alto ha individuato 25 nuovi punti di perdita su un totale di 2023 , tra cui:
- 8Base
- Abisso
- Akira
- BlackSuit
- Cactus
- CiphBit
- Mantello
- CrossLock
- CryptNet
- Ciclope
- DarkRace
- Hunters International
- INC
- Cavaliere
- LostTrust
- NoEscape
- Miao
- Messaggio sul denaro
- RA Group
- Rancoz
- Rasomed.Vc
- Rhysida
- ThreeAM
- Trigona
- Bomba a U
Di questi 25 nuovi arrivati, almeno cinque non sembravano aver pubblicato alcun post nella seconda metà del 2023 e circa 12 di loro non sono apparsi affatto fino alla seconda metà dell’anno. Questi nuovi ransomware hanno rappresentato circa il 25% del totale dei post relativi ai ransomware, su un totale di 2023.
Attività cessata
Diverse operazioni di ransomware sembrano aver cessato la propria attività nel corso dell’anno 2023. La causa della cessazione dell’attività era talvolta da ricondurre a operazioni di smantellamento condotte dalle forze dell’ordine, al sequestro delle infrastrutture e all’arresto di figure chiave.
Tra i gruppi che sembrano aver cessato l’attività nel corso del 2023 figurano Hive, Ragnar Locker, Ransomed.Vc e Trigona.
Statistiche
- È emerso che LockBit sia stato il gruppo più attivo nel mese di 2023, rappresentando circa il 23% del totale dei post pubblicati sui siti di divulgazione.
- A LockBit hanno fatto seguito BlackCat con il 9,7% e CL0P con il 9,1%.
- In media, nel corso dell’anno sono stati pubblicati circa 77 post a settimana; il mese con il maggior numero di post è stato luglio, a causa della vulnerabilità di MOVEit.
- Nel 2023 l'industria manifatturiera è stata il settore più colpito, con il 14% del totale dei post. A questi hanno fatto seguito i settori professionale e legale, seguiti poi dal settore tecnologico.
- Gli Stati Uniti sono stati la regione geografica più colpita, rappresentando circa il 47% dei post.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’analisi di Palo Alto offre molti spunti di riflessione. Il tema dominante è che il fenomeno del ransomware continua a registrare un andamento in crescita, nonostante i gruppi che lo praticano si alternino nel tempo.
Un aspetto importante della loro ricerca riguarda la misura in cui il panorama del ransomware sia stato influenzato dagli exploit zero-day e dallo sfruttamento mirato delle vulnerabilità critiche. Questo dato è interessante perché l’impatto di una vulnerabilità va ben oltre i semplici attacchi ransomware; tuttavia, ora siamo in grado di comprendere appieno quale sia la portata di tale impatto su un aspetto specifico del panorama delle minacce informatiche.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su “”.
