Il primo articolo della rassegna stampa di questa settimana è la cronaca di CTI su un rapporto di Proofpoint che rivela come gli hacker sostenuti da Stati stiano prendendo sempre più di mira le piccole e medie imprese (PMI) a livello globale e stiano utilizzando infrastrutture compromesse per lanciare ulteriori campagne rivolte ad altre piccole imprese, governi, forze armate e grandi entità aziendali. Successivamente, CTI analizza un rapporto di Fortinet relativo a un nuovo malware basato su " PowerShell" denominato PowerExchange, che viene utilizzato in attacchi volti a introdurre backdoor nei server on-premises Microsoft Exchange . Infine, CTI conclude con l’analisi di un caso interessante che coinvolge sia un attacco ransomware sia una minaccia interna.
1. Gli autori di minacce legati allo Stato prendono di mira le PMI
Secondo Proofpoint, gli hacker sponsorizzati dallo Stato e sostenuti dai governi di Russia, Iran e Corea del Nord (si apre in una nuova scheda) stanno prendendo sempre più di mira le PMI a livello globale. Tali attacchi sono concepiti per utilizzare l’infrastruttura compromessa come base di lancio per ulteriori campagne in cui gli autori prendono di mira altre PMI, nonché enti governativi, forze armate e grandi aziende.
I ricercatori di Proofpoint hanno condotto un’analisi retrospettiva delle PMI prese di mira da attori responsabili di minacce persistenti avanzate (APT) nel corso del primo trimestre del 2022 e fino al primo trimestre del 2023. Grazie alla prospettiva unica di cui l’azienda dispone su quella che definisce la telemetria “Proofpoint Essentials”, il fornitore di soluzioni di sicurezza offre una visione approfondita di oltre 200.000 PMI ai ricercatori che intendono individuare le tendenze chiave nel panorama delle minacce informatiche, ponendo particolare attenzione all’osservazione degli attori che rappresentano minacce specifiche per le PMI a livello globale.
Sulla base di questi preziosi dati, Proofpoint ha identificato diversi attori APT che prendono di mira le PMI. I ricercatori ritengono che tali attori siano legati ai governi di Russia, Iran e Corea del Nord e, secondo quanto riferito, conducano operazioni a sostegno degli interessi statali di tali paesi.
Le principali tendenze degli attacchi rivolti alle PMI
I ricercatori di Proofpoint hanno individuato tre tendenze principali negli attacchi rivolti alle PMI tra il 2022 e il 2023. Tra questi figurano:
- L'utilizzo di infrastrutture compromesse di SMB nelle campagne di phishing .
- Attacchi di tipo “ SMB ” a livello regionale perpetrati da soggetti allineati allo Stato a scopo di furto finanziario.
- I fornitori di servizi gestiti regionali (MSP regionali) particolarmente vulnerabili sono oggetto di attacchi di phishing, il che comporta il rischio di attacchi alla catena di fornitura di tipo “ SMB ”. Gli MSP regionali sono MSP di piccole e medie dimensioni che forniscono servizi a clienti in un’area geografica circoscritta.
L’utilizzo di infrastrutture compromesse di SMB nelle campagne APT
Una delle tendenze più interessanti emerse dall’analisi di Proofpoint è l’utilizzo, da parte degli attori APT, di infrastrutture compromesse di tipo “ SMB ” per facilitare campagne di phishing rivolte a obiettivi secondari di alto valore.
Come sottolineano i ricercatori, un esempio tipico di tale attività ha riguardato un autore di minacce che è riuscito a compromettere un server web o un account di posta elettronica presso un SMB.
Le modalità di accesso iniziale variavano. L'infiltrazione potrebbe essere stata il risultato del furto di credenziali oppure, nel caso di un server web, dello sfruttamento di una vulnerabilità non corretta. A prescindere dalla via di accesso, un indirizzo e-mail compromesso verrebbe spesso utilizzato per inviare e-mail dannose da una “fonte attendibile” a obiettivi secondari di interesse.
Come sottolinea Proofpoint, qualora un autore di minacce avesse la fortuna di compromettere un server web che ospita un dominio, il passo successivo consisterebbe molto probabilmente nell’abusare di questa parte di infrastruttura legittima, utilizzandola per ospitare o distribuire malware dannoso a una vittima a monte, di terze parti.
Tre esempi tratti dalla realtà
Esempio tratto dalla realtà: TA473
Il rapporto cita un caso reale in cui i ricercatori di Proofpoint hanno osservato che un’infrastruttura SMB compromessa veniva utilizzata dall’attore APT identificato dall’azienda con il codice TA473 (Winter Vivern) in campagne di phishing svoltesi tra il novembre 2022 e il febbraio 2023.
Da Proofpoint:
Tali campagne erano rivolte a enti governativi statunitensi ed europei. Nel documento “ marzo 2023”, Proofpoint ha pubblicato i dettagli relativi a TA473’s e-mail di trasmissione provenienti da indirizzi di posta elettronica compromessi. In diversi casi, tali e-mail provenivano da domini ospitati su WordPress che, al momento della violazione, potrebbero non essere stati aggiornati o non essere stati protetti adeguatamente. Inoltre, alcuni server di posta web Zimbra privi di patch sono stati oggetto di attacchi finalizzati a compromettere gli account di posta elettronica di enti governativi. Oltre a inviare e-mail tramite l’infrastruttura compromessa di SMB , TA473 ha anche utilizzato domini di piccole e medie imprese compromessi per distribuire payload di malware.
Esempio tratto dalla realtà: TA422
Un altro scenario reale ha riguardato l’usurpazione sistematica dell’identità di un’ SMBe (con sede in Arabia Saudita e operante nel settore automobilistico) nell’ambito di una campagna di phishing, il cui obiettivo era il furto di credenziali.
La campagna prendeva di mira indirizzi e-mail privati appartenenti a vittime negli Stati Uniti e in Ucraina ed è stata attribuita a TA422 (noto anche come APT28), un attore malintenzionato sponsorizzato dallo Stato e collegato al servizio di intelligence militare russo GRU. Oltre a mettere chiaramente in evidenza il continuo attacco sferrato da APT legate alla Russia contro entità ucraine, la campagna ha comportato anche lo spoofing di un’entità mediorientale per colpire vittime negli Stati Uniti e in Europa.
Da Proofpoint:
L'autore dell'attacco ha inserito l'indirizzo contraffatto nel campo “MailTo” dell'intestazione dell'e-mail, probabilmente per rafforzare le tecniche di ingegneria sociale volte a far credere di essere l'entità di cui si sta assumendo l'identità. Tuttavia, questa usurpazione d’identità tramite il campo “MailTo” ha come conseguenza pratica quella di far sì che le e-mail non recapitate vengano rinviate al dominio legittimo di cui l’autore dell’attacco sta usurpando l’identità. Pertanto, l’effetto collaterale involontario delle e-mail respinte ha consentito ai ricercatori di Proofpoint di individuare le pagine di raccolta delle credenziali di TA422 che utilizzavano i seguenti sottodomini per ospitare pagine di phishing finalizzate al furto di credenziali: 42web[.]io e frge[.]io.
Esempio tratto dalla realtà: TA499
Il terzo e ultimo esempio concreto riportato nel rapporto di Proofpoint riguardava un caso significativo di furto d’identità APT verificatosi nel maggio 2022. L’autore dell’attacco, identificato da Proofpoint con il codice TA499 (noto anche come Vovan o Lexus) — un attore con sede in Russia e legato allo Stato che sollecita regolarmente teleconferenze a tema politico da parte di personalità di spicco filoucraine — ha preso di mira un’azienda di medie dimensioni operante nel settore della rappresentanza di personaggi famosi negli Stati Uniti.
Da Proofpoint:
TA499 ha cercato di convincere una celebrità americana di primo piano a partecipare a una videoconferenza sul conflitto in Ucraina spacciandosi per il presidente ucraino Volodymyr Zelensky. Proofpoint è riuscita ad attribuire questa campagna al gruppo TA499 sulla base di una serie di indirizzi e-mail e domini controllati dagli autori dell’attacco, che il gruppo ha utilizzato in modo sistematico nel corso del 2022.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sulla base dei risultati complessivi presentati nel rapporto di Proofpoint, risulta evidente che gli attori APT sponsorizzati dallo Stato stiano cercando sempre più spesso di prendere di mira le PMI — molte delle quali sono vulnerabili agli attacchi — nonché i fornitori di servizi gestiti (MSP) regionali, al fine di soddisfare le esigenze di raccolta di informazioni di intelligence in linea con gli obiettivi dello Stato.»
"Dai risultati sopra descritti emerge chiaramente anche il desiderio e la disponibilità di questi stessi gruppi sostenuti dallo Stato a sfruttare la compromissione di un’infrastruttur SMB a per agevolare attacchi secondari contro obiettivi di grande valore, che hanno maggiori probabilità di fornire informazioni di intelligence ben più utilizzabili."
2. Il nuovo malware PowerExchange crea backdoor nei server Microsoft e Exchange
Fortinet ha individuato un nuovo malware basato su PowerShelldenominato “PowerExchange”, che viene utilizzato in attacchi volti a introdurre backdoor all’interno dei server on-premise di Microsoft Exchange . Si ritiene che tale attività sia collegata al gruppo di hacker iraniano noto come APT34.
Lo scorso anno Fortinet ha rilevato diversi attacchi simultanei rivolti contro un ente governativo degli Emirati Arabi Uniti, uno dei quali non era stato ancora identificato fino ad ora. Si è scoperto che questo caso riguardava il malware PowerExchange. Il protocollo di comando e controllo (C2) della backdoor è basato sulla posta elettronica e utilizza il server Microsoft Exchange della vittima come proprio server C2 .
Ulteriori indagini hanno rivelato l’esistenza della backdoor su altri endpoint all’interno dell’ambiente, con la presenza di numerosi altri impianti su vari server. Uno di questi impianti, ospitato su un server Microsoft Exchange , era una web shell nota come ExchangeLeech.
La catena di infezione di questo attacco ha avuto inizio con una tradizionale e-mail di phishing. La vittima ha aperto un file ZIP denominato “Brochure.zip”, che conteneva un eseguibile .NET dannoso con lo stesso nome. Il file, un eseguibile con l'icona di Adobe PDF, è stato copiato in una cartella temporanea e, una volta eseguito, ha visualizzato un messaggio di errore. Il file eseguibile è in realtà un dropper che facilita l'installazione e l'esecuzione del payload finale. Vengono creati tre file: autosave.exe, wsdl.ps1 e Microsoft.Exchange.WebServices.dll. Il dropper instaura quindi la persistenza per il file autosave.exe tramite un’attività pianificata che verrà eseguita periodicamente a intervalli di cinque minuti. Autosave.exe eseguirà il payload finale di PowerShell – wsdl.ps1 – in un nuovo processo.
Informazioni sulla backdoor PowerExchange
- La backdoor PowerExchange prende il nome dalla natura del proprio canale C2 , poiché sfrutta l’API EWS ( Exchange ) per connettersi al server Exchange della vittima e utilizza le caselle di posta per inviare e ricevere comandi.
- A tal fine, una DLL .NET viene caricata tramite riflessione dalla stessa cartella. Il server Exchange è accessibile da Internet, il che consente di evitare C2 comunicazioni con server esterni e funge da punto di accesso ( proxy ) per l’autore dell’attacco.
- La backdoor si connette al server Exchange , inviando il messaggio base64-encoded Computer Name a una casella di posta per segnalare che è in esecuzione. L'indirizzo della casella di posta e le credenziali di accesso sono hardcoded all'interno della backdoor stessa. L'operatore può quindi rispondere indicando ulteriori caselle di posta che la backdoor dovrà utilizzare per inviare segnali durante la sessione in corso, oppure l'ID di un'e-mail da cui recuperare ed eseguire un comando.
- Per inviare i dati, la backdoor creerà un’e-mail con oggetto “Aggiornamento di Edge su Microsoft ”. Il corpo di questa e-mail contiene solo il testo “Microsoft : aggiornamento Edge”. I dati vengono trasmessi come allegato nell'e-mail dal titolo “New Text Document.txt”.
- I comandi vengono inviati alla backdoor sotto forma di contenuto codificato in formato base64 senza riempimento, contenuto negli allegati delle e-mail. La backdoor supporta tre comandi specifici, verificando lo stato di variabili prestabilite in seguito alla valutazione delle espressioni. Le risposte vengono inviate tramite e-mail all'indirizzo da cui è stato ricevuto il messaggio di comando.
Fonte: APT34
Fortinet ha attribuito la campagna che coinvolge la backdoor PowerExchange al gruppo di hacker iraniano APT34, che in passato ha preso di mira una serie di settori, tra cui quello finanziario, governativo, energetico, chimico e delle telecomunicazioni. Il gruppo sfrutta spesso i rapporti tra le organizzazioni per sferrare attacchi alla catena di approvvigionamento.
PowerExchange presenta numerose somiglianze con la backdoor TriFive, che in precedenza era stata collegata a APT34. Le backdoor sono entrambe scritte in linguaggio di programmazione “ PowerShell ” e vengono attivate da un’attività periodica pianificata; i C2 canali si avvalgono del server “ Exchange ” dell’organizzazione tramite l’API EWS. Il codice alla base dei due prodotti è diverso, ma si presume che PowerExchange sia semplicemente una versione nuova e migliorata di TriFive.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questa campagna utilizza il server Exchange della vittima per le proprie comunicazioni C2 , consentendo alla backdoor di mimetizzarsi meglio con il traffico legittimo e innocuo.»
"Questa tecnica consente all'autore dell'attacco di eludere più efficacemente i sistemi di rilevamento basati sulla rete. Vale tuttavia la pena ribadire che questa backdoor attualmente prende di mira i server Exchange on-premise, che stanno certamente diventando meno diffusi alla luce del massiccio passaggio al cloud.”
3. Un dipendente del settore IT si spaccia per un membro di una banda di autori di ransomware per estorcere denaro al proprio datore di lavoro
Ashley Liles, ventottenne residente nel Regno Unito, è stato condannato per accesso non autorizzato a un sistema informatico a fini illeciti e per ricatto ai danni del proprio datore di lavoro.
Nel 2018, Liles lavorava come analista di sicurezza informatica presso un’azienda con sede a Oxford. Il 27 febbraio di quell’anno, la sua azienda è stata vittima di un incidente di sicurezza informatica nel corso del quale l’autore dell’attacco è riuscito ad accedere a una vasta parte dei suoi sistemi informatici. L'autore dell'attacco ha quindi contattato i vertici dell'azienda, chiedendo un riscatto.
Da quel momento in poi, la situazione è diventata sempre più strana.
Grazie alla sua posizione, a Liles è stato affidato il compito di indagare sull’incidente — nel corso del quale gli aggressori hanno contattato i dirigenti dell’azienda chiedendo il pagamento di un riscatto. Liles ha svolto un ruolo significativo nelle indagini interne dell’organizzazione e nelle attività di risposta agli incidenti, attività che hanno potuto contare sul supporto dei colleghi di Liles all’interno dell’azienda e dei membri delle forze dell’ordine locali.
Fu proprio in quel momento che Liles individuò l’opportunità di sfruttare l’incidente di sicurezza informatica, approfittando della violazione per trarne un vantaggio finanziario “sfruttando” l’incidente già in corso, nel tentativo di dirottare il potenziale pagamento del riscatto verso un portafoglio di criptovaluta sotto il suo controllo.
BleepingComputer riferisce che, durante la fase di risposta all’incidente di , (si apre in una nuova scheda) Liles ha cercato di «arricchirsi grazie all’attacco, ingannando il proprio datore di lavoro affinché pagasse il riscatto al suo posto, anziché all’autore originale dell’attacco esterno».
Come riportato nel comunicato stampa di SEROCU, «Ha consultato le e-mail private di un membro del consiglio di amministrazione per oltre 300 volte, oltre ad aver modificato l’e-mail di ricatto originale e a aver cambiato l’indirizzo di pagamento fornito dall’autore dell’attacco originario». Ciò nella speranza che, qualora fosse stato effettuato un pagamento, questo fosse versato a lui anziché all’autore dell’aggressione.”
Liles è arrivato addirittura a creare un indirizzo e-mail quasi identico a quello utilizzato dal vero autore dell’attacco e ha utilizzato tale account per inviare un messaggio al suo datore di lavoro, esercitando pressioni affinché cedesse alla richiesta di riscatto ed effettuasse il pagamento.
All’insaputa sia del suo datore di lavoro che della polizia, Liles aveva di fatto avviato un attacco “separato e secondario” contro l’azienda — la quale stava già affrontando un vero e proprio attacco ransomware su un altro fronte.
Purtroppo per il signor Liles, il titolare dell’azienda non era disposto a pagare gli autori dell’attacco e le successive indagini interne hanno rapidamente portato alla luce il tradimento di Liles — che a quel punto comprendeva ripetuti accessi non autorizzati alle e-mail aziendali riservate — accessi che hanno condotto gli investigatori direttamente al suo indirizzo IP domestico.
A quel punto, Liles sembrava aver iniziato a rendersi conto che la situazione gli si stava stringendo intorno e aveva cominciato a cancellare tutti i dati dai propri dispositivi personali — un’operazione che aveva portato a termine con successo quando la sua abitazione è stata perquisita dalla squadra anticybercriminalità della SEROCU e il suo computer è stato sequestrato. Purtroppo per il signor Liles, che si trova in una situazione difficile, gli investigatori sono riusciti a recuperare una quantità di prove a suo carico sufficiente a costruire un caso contro di lui.
Nei cinque anni successivi, Liles negò qualsiasi coinvolgimento nel reato. Tuttavia, nel corso di una recente udienza presso la Crown Court di Reading, si è infine dichiarato colpevole di tutte le accuse. La sentenza verrà pronunciata il 11 luglio 2023.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Si parla spesso di minacce interne e le si annovera costantemente tra le gravi minacce informatiche che le organizzazioni devono affrontare, ma scoprire tutti i dettagli sconcertanti di un caso come questo è piuttosto raro».
"Sebbene i dettagli tecnici del caso siano scarsi, esso serve comunque a ricordare il tipo di danno che può causare un singolo individuo senza scrupoli a cui viene concesso troppo margine di manovra." Le posizioni di analista della sicurezza sono in genere lavori ben retribuiti, che solitamente garantiscono al dipendente un livello significativo di accesso e privilegi. Gli autori delle minacce sono consapevoli di questi fatti tanto quanto lo siamo noi. Con ciò non si intende dire che gli autori delle minacce stiano presentando candidature in massa per posizioni nel settore della sicurezza. «Tuttavia, si sono verificati casi in cui gli autori delle minacce hanno preso di mira questo tipo di dipendenti ricorrendo a corruzione, coercizione o ricatto, al fine di indurre personale interno ad aiutarli a facilitare attività dannose».
Come spiega Help Net (si apre in una nuova scheda) :
Sebbene alcune minacce interne possano derivare da negligenza o ignoranza, questo caso mette in luce uno scenario più inquietante che coinvolge un individuo malintenzionato e opportunista. I dipendenti malintenzionati sfruttano il proprio accesso autorizzato e i propri privilegi per compiere attività dannose, contrarie all’etica o illegali.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”.
