Nella rassegna di questa settimana, CTI mette in evidenza il recente aumento dei casi di appropriazione indebita di account cloud a carico di dirigenti di alto livello. Si passa ora a una panoramica sul ransomware Rhysida, che sta attualmente minacciando il settore sanitario. Viene inoltre fornita un'analisi delle nuove istanze di LOLKEK individuate in ambiente reale e di alcune delle ultime modifiche apportate a questa famiglia di ransomware.
1. La campagna di compromissione del cloud prende di mira i dirigenti di alto livello tramite EvilProxy
Una nuova ricerca condotta da Proofpoint mette in guardia da un recente aumento degli episodi di appropriazione indebita di account cloud tramite l’ (si apre in una nuova scheda) che colpiscono principalmente dirigenti di alto livello. Gli autori delle minacce stanno ora utilizzando lo strumento di phishing EvilProxy per sottrarre le credenziali protette dall’autenticazione a più fattori (MFA) di e i cookie di sessione.
Che cos’è EvilProxy?
EvilProxy è una piattaforma di phishing-as-a-service basata su reverse-proxy, disponibile all’indirizzo (si apre in una nuova scheda),e , apparsa nel 2022. Si sostiene che sia in grado di sottrarre i token di autenticazione per aggirare l’autenticazione a più fattori (MFA), consentendo anche agli autori di attacchi con scarse competenze di appropriarsi di account online.
La crescente diffusione dell’autenticazione a più fattori (MFA) ha determinato un aumento dei kit e degli strumenti di phishing progettati specificamente per aggirare questo livello di sicurezza. Gli autori delle minacce ricorrono sempre più spesso a kit di phishing di tipo “adversary-in-the-middle” (AitM), come EvilProxy, per sottrarre credenziali e cookie di sessione in tempo reale.
Principali risultati emersi dal rapporto di Proofpoint
Dall’inizio di marzo, Proofpoint sta monitorando una campagna ibrida ancora in corso che utilizza EvilProxy per prendere di mira gli utenti di Microsoft 365 . La rapidità con cui si è svolta la campagna è impressionante: tra marzo e giugno 2023 sono state inviate circa 120.000 e-mail di phishing a centinaia di organizzazioni prese di mira in tutto il mondo.
Gli autori dell'attacco hanno utilizzato diverse tecniche degne di nota, tra cui:
- Falsificazione del marchio: Gli indirizzi e-mail dei mittenti utilizzati in questa campagna simulavano quelli di servizi affidabili quali Concur Solutions, DocuSign e Adobe.
- Blocco delle scansioni: Gli autori delle minacce hanno adottato misure di protezione contro i bot di scansione per la sicurezza informatica, rendendo più difficile l’analisi dei siti dannosi.
- Catena di infezione in più fasi: Gli autori dell’attacco hanno reindirizzato il traffico tramite reindirizzatori legittimi e accessibili, tra cui YouTube. A ciò hanno fatto seguito diverse altre operazioni, quali l’utilizzo di cookie dannosi e 404 reindirizzamenti.
Fase 1: EvilProxy in azione
Gli autori dell'attacco hanno inizialmente assunto l'identità di servizi noti e affidabili, utilizzando e-mail contraffatte per inviare messaggi di phishing contenenti collegamenti a siti di phishing dannosi Microsoft 365 .
Le e-mail che fingevano di provenire da DocuSign, Adobe Sign e Concur contenevano URL dannosi che davano avvio a una catena di infezione in più fasi, caratterizzata da numerosi reindirizzamenti, cookie dannosi e 404 reindirizzamenti che conducevano l’utente a un framework di phishing denominato EvilProxy. La pagina di destinazione funziona come un " proxy" al contrario.
Analizzando alcune delle pagine di reindirizzamento di questa campagna, Proofpoint ha individuato un dettaglio piccolo ma significativo che l’ha contraddistinta nei primi giorni dell’attacco. L'indizio era un piccolo errore di battitura nella stringa di reindirizzamento. Anziché reindirizzare l'utente a una pagina https, l'autore dell'attacco ha erroneamente indicato un indirizzo “hhttps”, causando il fallimento del flusso di reindirizzamento.
L'autore dell'attacco ha utilizzato una codifica speciale per nascondere l'indirizzo e-mail dell'utente agli strumenti di scansione automatica. Ha inoltre sfruttato siti legittimi che erano stati precedentemente violati per caricare il proprio codice PHP e decodificare l’indirizzo e-mail dell’utente. Una volta decodificato l’indirizzo e-mail, l’utente viene reindirizzato al sito web finale, ovvero una pagina di phishing creata appositamente per l’organizzazione presa di mira.
Proofpoint ha inoltre rilevato un’apparente variazione nel flusso dell’attacco quando si accedeva a più pagine di phishing da specifiche aree geografiche. Il traffico degli utenti proveniente da indirizzi IP turchi è stato reindirizzato alla pagina web legittima. Se si trattasse di un'azione intenzionale, ciò potrebbe indicare che gli autori della campagna abbiano sede in Turchia oppure stiano evitando di prendere di mira gli utenti turchi.
Fase 2: Compromissione dell'account
L'elenco degli utenti comprendeva numerosi soggetti di grande importanza, quali dirigenti di alto livello e vicepresidenti di aziende leader.
Non appena un utente preso di mira fornisce le proprie credenziali tramite la pagina di phishing, gli autori dell’attacco accedono al suo account di “ Microsoft 365 ” nel giro di pochi secondi, il che indica che si tratta di un processo automatizzato.
Non tutti gli utenti che sono caduti nella trappola del phishing sono stati oggetto di accesso da parte degli autori della minaccia. In questa campagna, gli autori dell'attacco hanno dato la priorità esclusivamente agli obiettivi VIP, ignorando quelli di minore importanza.
Tra le centinaia di utenti compromessi nell’ambito della campagna, circa il 39% erano dirigenti di livello C. Di questi, il 17% erano direttori finanziari e il 9% erano presidenti e amministratori delegati. Gli autori delle minacce hanno inoltre manifestato interesse nei confronti dei dirigenti di livello inferiore.
Fase 3: sfruttamento post-compromissione
Dopo aver ottenuto l'accesso agli account, gli autori dell'attacco hanno assicurato la propria persistenza all'interno dell'ambiente cloud. In diversi casi, gli autori delle minacce hanno sfruttato un’applicazione nativa di Microsoft 365 per manipolare l’autenticazione a più fattori (MFA).
Tramite la funzione “I miei accessi”, gli autori delle minacce potrebbero aggiungere un proprio metodo di autenticazione a più fattori (MFA) per garantire la persistenza. Il metodo di autenticazione preferito da questi autori delle minacce era un’ App e di autenticazione con notifica e codice.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questa campagna è rivolta in modo specifico a dirigenti, quadri e altre figure di tipo “VIP”.» "Sembra che gli autori delle minacce facciano di tutto per evitare e ignorare qualsiasi credenziale raccolta che non appartenga a questi dirigenti di alto livello."
"Naturalmente, gli autori delle minacce potrebbero vendere queste altre credenziali o dedicarsi ad attività illecite. Ma per questa campagna sembrano non mostrare alcun interesse. Questo approccio selettivo si differenzia da molte delle campagne di phishing opportunistiche che mirano a qualsiasi membro di un’organizzazione e a chiunque sia disposto a inserire le proprie credenziali in una pagina di phishing.”
2. Una panoramica sul nuovo ransomware Rhysida che prende di mira il settore sanitario
L’ultimo rapporto di Trend Micro è incentrato su Rhysida (si apre in una nuova scheda), un tipo di ransomware che prende di mira attivamente il settore sanitario. La notizia giunge a pochi giorni di distanza dalla pubblicazione, da parte del Centro di coordinamento per la sicurezza informatica nel settore sanitario (HC3) del Dipartimento della Salute e dei Servizi Umani (HHS) , di un avviso di sicurezza (si apre in una nuova scheda) relativo alla nuova variante di ransomware.
Rhysida si presenta come un team specializzato in sicurezza informatica e si offre di aiutare le vittime a individuare i punti deboli della rete. In precedenza era noto per prendere di mira i settori dell’istruzione, della pubblica amministrazione, dell’industria manifatturiera e della tecnologia, ma da allora ha sferrato attacchi anche contro organizzazioni operanti nel campo dell’assistenza sanitaria e della sanità pubblica.
Tale cambiamento è in linea con il crescente numero di attacchi ransomware che il settore sanitario ha subito negli ultimi anni. L'operazione prende di mira organizzazioni in tutto il mondo, tra cui Indonesia, Germania e Stati Uniti.
La sequenza di attacchi di Rhysida
Il ransomware Rhysida si introduce solitamente nel computer della vittima tramite esche di phishing, per poi avvalersi di Cobalt Strike per il movimento laterale.
Trend Micro ha osservato che gli autori dell’attacco hanno eseguito PsExec per distribuire script di tipo “ PowerShell ” e il payload del ransomware Rhysida. Uno script PowerShell termina tutti i processi e i servizi relativi all'antivirus, elimina le copie shadow, modifica le configurazioni RDP e cambia la password di Active Directory.
Il ransomware utilizza una chiave RSA a 4096 bit e l'algoritmo AES-CTR per la crittografia dei file. Una volta completata con successo la crittografia, aggiunge l’estensione .rhysida ai file e inserisce la richiesta di riscatto denominata CriticalBreachDetected.pdf.
La richiesta di riscatto è piuttosto insolita, in quanto si presenta come un avviso da parte del team di sicurezza informatica di Rhysida e informa le vittime della violazione.
La routine di crittografia di Rhysida
Il ransomware Rhysida utilizza la libreria open source LibTomCrypt per implementare la propria routine di crittografia. Il generatore di numeri pseudocasuali (PRNG) di LibTomCrypt viene utilizzato per la generazione delle chiavi e dei vettori di inizializzazione.
Dopo aver inizializzato il PRNG, Rhysida importa la chiave RSA incorporata e dichiara l’algoritmo che utilizzerà per la crittografia dei file. Procederà quindi alla registrazione e alla dichiarazione dell’AES per le sue funzionalità relative alla costruzione dell’hash della cifra.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Al momento si dispone di informazioni limitate su chi gestisca il ransomware Rhysida. È interessante notare che questo gruppo di hacker si presenta come un team di sicurezza informatica e si offre di aiutare le vittime a individuare le vulnerabilità di sicurezza. La prima apparizione del gruppo prevedeva un portale di chat di supporto per le vittime, il che rafforzava l’impressione che stessero facendo un favore a queste ultime.
3. Ransomware LOLKEK: nuovi campioni e tattiche in continua evoluzione
SentinelOne ha recentemente individuato nuovi casi di LOLKEK — noto anche come GlobeImposter — in circolazione e ha rilevato alcune modifiche all’interno di questa famiglia di ransomware. SentinelOne ha reso nota la propria ricerca sui nuovi payload LOLKEK di (si apre in una nuova scheda), illustrandone in dettaglio le nuove caratteristiche e i cambiamenti nella strategia.
LOLKEK ha fatto la sua prima apparizione nel 2016. Il nome “GlobeImposter”, all’epoca, rappresentava un modo ingegnoso per descrivere il modo in cui il ransomware imitava le tecniche del ransomware Globe.
LOLKEK può essere considerato, in una certa misura, un ransomware "pronto all'uso". Viene modificato frequentemente e utilizzato da persone con competenze e risorse limitate. In alcuni episodi recenti, i riscatti richiesti erano inferiori a 2.000 dollari, una cifra piuttosto bassa rispetto a quelle solitamente richieste da gruppi come Cl0P e LockBit.
LOLKEK si rivolge principalmente alle piccole e medie imprese (PMI) e agli utenti privati. Tuttavia, si sono verificati casi in cui questo ransomware ha avuto un ruolo in attacchi finanziari più complessi e pianificati.
Dettagli tecnici
- I ricercatori di SentinelOne hanno individuato due nuovi campioni di LOLKEK in circolazione. Questi campioni si sono identificati come “ W3CRYPTO LOCKER” e hanno indirizzato le vittime verso un nuovo portale Tor dedicato alle vittime.
- Entrambi i nuovi esempi sono stati compilati in maggio 2023, ma solo uno sembra funzionare correttamente. Al momento del lancio dei nuovi payload LOLKEK, questi individuano e crittografano in sequenza tutte le unità disponibili localmente, comprese le condivisioni di rete montate.
- I payload contengono inoltre le esclusioni relative alle precedenti varianti di questo ransomware. Tra queste figurano le cartelle “ Windows”, “System Volume Information” e “ProgramData”. Sembra che i payload siano in grado di individuare ed eliminare le copie shadow dei volumi. Tuttavia, tale comportamento non è stato riscontrato durante l'analisi dinamica di uno dei campioni. Nel codice di esempio sono presenti comandi in formato WMIC per la rimozione dei VSS. Ai file crittografati viene aggiunta l'estensione .MMM.
- Analizzando più approfonditamente questi file crittografati, i ricercatori hanno individuato un altro indicatore che li collega alle precedenti varianti di LOLKEK/GlobeImposter. I file crittografati contenevano la stessa stringa “CRYPTO LOCKER” riscontrata nelle versioni precedenti.
Portale dedicato alle vittime e note
I messaggi di riscatto di LOLKEK sono denominati “ReadMe.txt” e vengono inseriti in tutte le cartelle contenenti file e dati crittografati. Le richieste di riscatto sono pressoché identiche a quelle delle varianti precedenti. Gli URI .onion forniti contengono una stringa alla fine, univoca per ogni esecuzione del ransomware.
Alle vittime viene chiesto di accedere al portale Tor dedicato alle vittime, dove devono creare un account per avviare una chat privata con l'autore dell'attacco. Il nuovo portale è funzionalmente identico ai precedenti portali dedicati alle vittime gestiti da questa organizzazione di ransomware.
L'autore dell'attacco sottolinea che i file di piccole dimensioni possono essere decriptati gratuitamente a dimostrazione dell'efficacia del processo di decriptazione. Quando la vittima crea un ticket all’interno del portale, i dettagli relativi al riscatto vengono forniti direttamente tramite la chat della vittima.
Errore di OPSEC da parte di LOLKEK
Gli autori di questa campagna hanno seguito passaggi, procedure e modelli molto simili a quelli delle loro campagne precedenti relative alla configurazione errata di Apache. La pagina di stato del server è visibile sulla pagina delle vittime di Tor. I ricercatori hanno accertato che il server è stato reso operativo all'indirizzo 23 maggio 2023 — appena pochi giorni dopo la compilazione dei campioni correlati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il ransomware LOLKEK è piuttosto affascinante, essendo riuscito a sopravvivere sin dal 2016 in questo panorama delle minacce in rapida evoluzione. I suoi gestori continuano a impegnarsi a fondo per esplorare nuove strategie e hanno dimostrato la loro capacità di rimanere al passo con i tempi."
"LOLKEK ci ricorda chiaramente che, sebbene LockBit, Cl0p e altri gruppi di ransomware di grande rilievo dominino il panorama, non dobbiamo trascurare le operazioni di minore entità ma comunque persistenti."
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
