Un nuovo rapporto di Cisco Talos rivela che, per la prima volta in oltre un anno, il malware generico ha superato il ransomware negli interventi del Cisco Talos Incident Response (CTIR). Il rapporto mette inoltre in luce le più recenti tattiche, tecniche e procedure (TTP) messe in atto dai criminali informatici. Di seguito, vi presentiamo un nuovo rootkit per firmware UEFI denominato “CosmicStrand”, attualmente utilizzato da autori di minacce di lingua cinese per prendere di mira individui in diverse regioni. Infine, le informazioni fornite da Censys rivelano l’esistenza di un’infrastruttura di comando e controllo (C2) di un ransomware collegato alla Russia, che sembra aver preso piede in almeno una rete con sede negli Stati Uniti.
1. Cisco Talos’ Quarterly Report: Incident Response Trends in Q2 2022
L’ultimo rapporto di Cisco Talos intitolato “ : Incident Response Trends in Q2 2022 ” contiene una grande quantità di importanti approfondimenti in materia di sicurezza informatica.
Ecco alcuni dei punti salienti:
Il malware di tipo “commodity” si aggiudica il primo posto
La principale minaccia rilevata in questo trimestre è rappresentata dal malware “commodity”, ovvero quel malware facilmente reperibile in commercio. Ciò assume particolare rilevanza se si considera il calo generale degli attacchi che sfruttano trojan di uso comune negli interventi CTIR risalenti al 2020.
Secondo Talos, questi sviluppi coincidono con la recrudescenza, registrata negli ultimi mesi, di vari trojan diffusi tramite e-mail, dopo che le loro attività erano state ostacolate sia dalle forze dell’ordine che dalle aziende tecnologiche.
In questo trimestre si è registrato inoltre un aumento dell’attività legata a programmi di furto di informazioni quali Redline e QBot. Tutte queste famiglie di malware hanno dato origine, in momenti diversi, a infezioni preliminari finalizzate a diversi payload — principalmente ransomware.
Il nuovo rapporto trimestrale sulle tendenze pubblicato da @TalosSecurity evidenzia che il malware generico, e non il ransomware, è stato la principale minaccia nel Q2. blog.talosintelligence.com/2022/07/quarte…
Rispetto ai trimestri precedenti, il ransomware ha rappresentato una percentuale significativamente inferiore degli incidenti, costituendo il 15 % di tutte le minacce osservate in questo trimestre, rispetto al 25 % del trimestre precedente.
Principali famiglie di ransomware/malware:
- Remcos RAT
- Vidar InfoStealer
- Redline InfoStealer
- Trojan QBot
- Ransomware BlackCat (ALPHV)
- Ransomware Conti
Settori verticali di maggiore interesse
- delle telecomunicazioni: anche questo settore verticale è stato tra quelli maggiormente presi di mira nei casi Q4 2021 e Q1 2022.
- nel settore sanitario/medico: il settore sanitario è da sempre uno degli obiettivi preferiti dagli estorsori, a causa dell’imperativa necessità delle organizzazioni sanitarie di garantire la continuità delle cure ed evitare a tutti i costi interruzioni del servizio.
- nel settore dell’istruzione: le scuole rappresentano un altro obiettivo molto ambito dai criminali informatici, poiché si ritiene che gli istituti scolastici dispongano di risorse di valore e abbiano la capacità di pagare ingenti somme a titolo di riscatto.
- Tra gli altri settori a rischio elencati nel rapporto figurano i servizi finanziari, le amministrazioni locali, la ristorazione, il commercio al dettaglio, il settore automobilistico, l’IT, le attrezzature di produzione e l’industria manifatturiera.
Principali minacce complessive
- Malware di tipo "commodity"
- Ransomware
- Altro
- Phishing / Business Email Compromise (BEC)
- Minaccia persistente avanzata (APT)
- Applicazioni esposte o configurate in modo errato
Menzioni d’onore: minacce interne, Log4j, pre-ransomware e browser Wave (PUP).
Principali vettori di infezione iniziale
- Phishing
- Sfruttare le vulnerabilità delle applicazioni accessibili al pubblico
- Sconosciuto
- Account validi
Menzioni d’onore: servizi remoti esterni e attacchi “drive-by”.
Ulteriori approfondimenti
Secondo Talos, la mancanza di un’autenticazione multifattoriale (MFA) rimane uno dei maggiori ostacoli alla sicurezza aziendale, il che suggerisce che le organizzazioni debbano adottare misure avanzate per proteggere gli account degli utenti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Rimangono alcune questioni aperte relative ai dati sopra riportati. Innanzitutto, siamo curiosi di conoscere gli altri potenziali fattori che potrebbero aver contribuito al fatto che, per la prima volta dopo molto tempo, il malware generico abbia superato il ransomware.
Ad esempio:
- L’ascesa di gruppi criminali specializzati in estorsioni senza crittografia (come LAPSUS$) ha influito sul calo del numero di attacchi ransomware?
- I vari malware emersi di recente, scoperti sullo sfondo del conflitto tra Russia e Ucraina, influenzeranno i dati contenuti nel prossimo rapporto trimestrale di Talos?
- E per quanto riguarda il malware distruttivo? Qualcosa di tutto ciò verrà menzionato?
- Cosa ha determinato l’aumento della diffusione dei malware finalizzati al furto di informazioni?
- I broker di “accesso iniziale” hanno avuto un ruolo nel successo che queste famiglie di malware specializzate nel furto di informazioni stanno attualmente riscuotendo?
Domande a parte, riteniamo che le informazioni fornite da alcuni dei dati contenuti nel presente rapporto si riveleranno utili per l’ Communitye nel campo dell’intelligence sulle minacce informatiche.”
2. Gli esperti hanno scoperto un nuovo rootkit UEFI denominato “CosmicStrand”, utilizzato da hacker legati alla Cina
SecureList di Kaspersky ha recentemente scoperto un nuovo e sofisticato rootkit per il firmware UEFI denominato CosmicStrand, attualmente utilizzato da un autore di minacce sconosciuto di lingua cinese.
Secondo quanto riferito, le vittime sarebbero persone fisiche residenti in Cina, Vietnam, Iran e Russia. Al momento non vi sono prove che colleghino queste vittime a organizzazioni specifiche o a settori industriali particolari.
Nonostante sia stato scoperto di recente, #CosmicStrand il rootkit del firmware UEFI sembra essere in circolazione già da parecchio tempo. Ciò suggerisce che gli autori delle minacce disponessero di capacità molto avanzate che sono riusciti a mantenere nascoste sin dal 2017 ⇒ kas.pr/1pho
Che cos’è il rootkit CosmicStrand UEFI?
Come spiega SecureList, i rootkit sono malware progettati per insinuarsi negli “angoli più remoti del sistema operativo”. I rootkit sono spesso associati ad attori di primo piano nel campo delle minacce informatiche, quali i gruppi APT sponsorizzati dallo Stato, a causa delle complesse sfide tecniche che comportano.
Purtroppo, sia i criminali informatici che gli APT sono sempre più attratti dai rootkit, soprattutto perché questo tipo di malware si annida a livelli talmente profondi all’interno del sistema operativo da rendere estremamente difficile il suo rilevamento. I rootkit del firmware mantengono inoltre i dispositivi in uno stato compromesso anche dopo la reinstallazione del sistema operativo o la sostituzione del disco rigido.
CosmicStrand è un rootkit del firmware UEFI che utilizza un file di piccole dimensioni, composto da 96,84KB file. Sebbene il vettore di accesso iniziale di CosmicStrand non sia ancora stato individuato, le attività successive alla compromissione includono modifiche al driver CSMCORE DXE, il cui punto di ingresso è stato modificato per reindirizzare verso il codice aggiunto nella sezione .reloc. Questo codice, eseguito all’avvio del sistema, innesca una lunga catena di operazioni che porta al download e all’installazione di un componente dannoso all’interno di Windows. In definitiva, l’obiettivo di CosmicStrand è quello di installare un implant a livello di kernel in un sistema Windows ad ogni avvio, a partire dal componente UEFI infetto.
SecureList ritiene che tali modifiche possano essere state apportate da uno strumento automatizzato di applicazione delle patch. Se questa ipotesi dovesse rivelarsi corretta, ciò potrebbe indicare che gli autori dell’attacco abbiano ottenuto in precedenza l’accesso al computer della vittima per estrarre, modificare e sovrascrivere il firmware della scheda madre. Ciò potrebbe avvenire tramite un malware precursore già installato sul computer oppure ottenendo l'accesso fisico al dispositivo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sebbene la comparsa di un nuovo rootkit nel firmware sia di per sé degna di nota, suscitano interesse anche i sospetti relativi al suo sviluppo e utilizzo da parte di attori malintenzionati di lingua cinese, nonché i potenziali legami con essi.»
Sebbene vi sia certamente ancora molto da apprendere riguardo alla catena di attacco di CosmicStrand e agli autori responsabili della sua diffusione, la sfida tecnologica che si presenta agli sviluppatori che intendono creare un malware di questo tipo suggerisce che gli autori di CosmicStrand siano piuttosto esperti e che possano disporre di risorse considerevoli. Ciò sarebbe in linea con le attività informatiche storicamente riconducibili alla Cina. L’impossibilità di collegare in modo definitivo questa attività a un attore malintenzionato noto o a un gruppo APT potrebbe inoltre suggerire che gli operatori di CosmicStrand attribuiscano grande importanza alla sicurezza operativa (OPSEC), una caratteristica comune a molti degli hacker cinesi di alto livello legati allo Stato.
Un altro elemento che potrebbe indicare un collegamento tra l’attività di CosmicStrand e un’entità legata allo Stato è il fatto che, finora, tutti gli attacchi noti abbiano preso di mira singoli individui. Sebbene non sembri ancora esserci un nesso comune tra queste persone per quanto riguarda le organizzazioni o i settori di attività, è noto che il governo cinese prenda di mira individui di interesse nazionale per attività di sorveglianza e raccolta di informazioni – talvolta arrivando persino a mascherare tali iniziative come attività non mirate – quali gli attacchi alla catena di approvvigionamen a che a prima vista sembrano progettati per colpire migliaia di persone, ma che, a un esame più attento, risultano essere destinati esclusivamente a infettare poche centinaia di individui di interesse per il governo cinese.
Ribadiamo che, al momento della stesura di questo articolo, si tratta esclusivamente di ipotesi. “Il tempo ci dirà quale sia il vero movente.”
3. La società di ricerca Censys ha individuato una rete di ransomware con sede in Russia che ha preso piede negli Stati Uniti.
I ricercatori della società Censys, specializzata nella gestione delle superfici di attacco, affermano di aver scoperto una rete di comando e controllo (C2) del ransomware , con sede in Russia , che ha preso piede in almeno una rete statunitense.
L’attività è stata osservata per la prima volta dai ricercatori di Censys intorno al 24 giugno 2022, quando, nel corso di un’analisi su oltre 4,7 milioni di host con sede in Russia, hanno individuato due host russi contenenti lo strumento di exploit Metasploit insieme allo strumento Deimos C2 .
È opportuno precisare che Censys ha effettuato le analisi per individuare i primi 1.000 prodotti software attualmente rilevabili tra gli oltre 4,7 milioni di host individuati in Russia dai ricercatori dell’azienda. Da un’ulteriore analisi storica è emerso che uno di questi host aveva già utilizzato in precedenza lo strumento PoshC2 . Tutti questi strumenti dispongono di funzionalità che consentono ai penetration tester e agli hacker di ottenere l’accesso remoto agli host di destinazione e di gestirli.
I ricercatori di Censys hanno sfruttato le informazioni contenute nel certificato PoshC2 per individuare ulteriori host russi in varie località del mondo, tra cui due ulteriori host che utilizzavano il certificato PoshC2 , situati negli Stati Uniti. Censys identifica tali sistemi come host russi e afferma che contenevano anche pacchetti di malware — tra cui un kit di ransomware — nonché un file con un collegamento a due host russi dedicati ai Bitcoin.
Secondo Censys, i ricercatori hanno individuato un host in Ohio che conteneva anch’esso lo strumento Deimos C2 , lo stesso strumento rinvenuto sull’host russo iniziale. Da un’ulteriore analisi storica emerge che anche l’host dell’Ohio possedeva un pacchetto di malware compatibile con il ransomware individuato sugli host russi, contenente lo strumento PoshC2 sopra menzionato.
Nota della redazione: per evitare confusione, ci riferiremo agli host russi individuati inizialmente, sui quali erano presenti Metasploit e Deimos C2 , come Host A e B, mentre gli host individuati successivamente, sui quali erano presenti kit di malware e ransomware, saranno indicati come Host F e G (la convenzione di denominazione risulterà più chiara se si consulta il rapporto tecnico estremamente approfondito di Censys intitolato “”, disponibile all’indirizzo).
Dopo ulteriori approfondimenti, Matt Lembright, direttore delle applicazioni federali presso Censys e responsabile dell’attività di scansione iniziale, ha scoperto insieme al proprio team che gli host sopra descritti presentavano collegamenti con il ransomware MedusaLocker, nonché con il ransomware Karma.
Come affermato da Lembreight e colleghi, la scoperta dei collegamenti tra questi host e il ransomware è stata particolarmente innovativa poiché la maggior parte degli incidenti legati al ransomware viene individuata solo dopo un attacco; si è trattato invece di un caso raro in cui i ricercatori hanno trovato prove che indicavano come alcuni gruppi stessero preparando il terreno per un attacco.
Censys ritiene che gli host russi A e B, individuati inizialmente tramite Metasploit e Deimos C2 , possano costituire i vettori di attacco iniziali per assumere il controllo degli host delle vittime, mentre gli host russi F e G dispongono di malware in grado di disattivare i programmi antivirus e di sferrare un attacco ransomware, con collegamenti a due nodi Bitcoin che probabilmente ricevono i pagamenti del riscatto dalle vittime.
Censys è riuscita a collegare gli host all’operazione del ransomware MedusaLocker grazie ai contenuti di un rapporto della Cybersecurity and Infrastructure Security Agency (CISA) intitolato “”, pubblicato circa un mese fa, che ha messo in luce la metodologia del gruppo e ha fornito indicatori di compromissione (IOC) associati all’infrastruttura utilizzata dal gruppo, quali indirizzi e-mail, indirizzi IP e indirizzi dei nodi TOR.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Censys ha comunicato i propri risultati all’FBI e sta attualmente collaborando con le forze dell’ordine per verificare se tali host siano stati utilizzati negli attacchi sferrati lo scorso anno contro un ospedale e una biblioteca. La condivisione di questo tipo di informazioni è particolarmente lodevole, in quanto altre organizzazioni potrebbero essere in grado di identificare tali host o gli schemi emersi nelle segnalazioni di Censys e, potenzialmente, sventare un attacco di più ampia portata qualora questa scoperta dovesse rivelarsi parte di attività preliminari a un futuro attacco su scala più ampia.”
Visiti la nostra comunità di utenti “ Tanium ”
Visiti il nostro sito Community dedicato agli utenti per accedere ai forum di discussione, agli annunci, agli aggiornamenti sulle questioni di attualità e alle migliori pratiche in materia di sicurezza informatica. Date un’occhiata al sito.
Scoprite i nostri recenti riepiloghi sulla sicurezza
Luglio 7: Aggiornamenti sugli APT cinesi, DragonForce in Malesia e malware che prende di mira Linux
