Nel roundup di questa settimana, CTI indaga su una campagna attiva del gruppo nazione-stato APT28 in cui l'attore della minaccia sfrutta un difetto di sicurezza critico in Outlook per rubare informazioni sensibili. Successivamente, CTI esplora le principali caratteristiche delle e-mail di phishing con codice QR, comprese le fonti, gli argomenti e i domini più comuni che gli attori delle minacce sfruttano nei loro attacchi. CTI analizza anche una recente intrusione di un server MSSQL rivolto al pubblico che ha portato alla distribuzione del ransomware BlueSky.
1. APT28 sfrutta una vulnerabilità critica di Outlook
Il gruppo APT28 sostenuto dal Cremlino (si apre in una nuova scheda), (noto anche come Fancy Bear) sta attivamente prendendo di mira una falla di sicurezza critica nel servizio di posta elettronica di Outlook. APT28 ne sta sfruttando CVE-2023-23397 (si apre in una nuova scheda) per ottenere l’accesso non autorizzato agli account di Microsoft Exchange e rubare informazioni sensibili.
CVE-2023-23397 è una vulnerabilità critica di escalation dei privilegi (si apre in una nuova scheda) in Microsoft Outlook su Windows. Per sfruttare questa vulnerabilità, l'attore della minaccia fornirà un messaggio appositamente creato a un utente. L'aggressore può specificare il valore per PidLidReminderFileParameter per innescare una perdita di Net-NTLMv2 hash sui propri server controllati dall'attore. La vittima non deve interagire con il messaggio e-mail. Finché Outlook è aperto quando viene attivato il promemoria, si verificherà lo sfruttamento.
Tutte le versioni di Outlook su Windows sono state interessate da questa vulnerabilità, mentre Outlook per Android, iOS, Mac e OWA non sono stati interessati. Microsoft ha tracciato le prove del potenziale sfruttamento di questa vulnerabilità a . aprile 2022 Questa vulnerabilità è stata segnalata per la prima volta nel marzo del 2023 e da allora è stata resa disponibile una patch.
Circa APT28
Mentre questa vulnerabilità è stata rilasciata diversi mesi fa, Microsoft ha recentemente confermato che APT28 la sta sfruttando attivamente. APT28 – noto anche come Forest Blizzard e Fancy Bear – è un gruppo di minacce russe che è stato attribuito al General Staff Main Intelligence Directorate (GRU) della Russia.
Il gruppo è attivo da almeno 2004 anni e tende a colpire il governo, l’energia, i trasporti e le organizzazioni non governative negli Stati Uniti, in Europa e in Medio Oriente. APT28 è noto per sfruttare gli exploit pubblicamente disponibili nei loro attacchi, spendendo una buona parte dello sfruttamento della vulnerabilità settembre 2023 WinRAR (CVE-2023-38831) contro gli obiettivi del governo ucraino. Si ritiene che il gruppo sia ben dotato di risorse e ben addestrato, raffinando continuamente i suoi TTP e impiegando nuovi malware personalizzati.
APT28 sta ora sfruttando attivamente la vulnerabilità di Outlook di nove mesi nei suoi attacchi per ottenere l'accesso non autorizzato agli account di posta elettronica all'interno dei server Exchange . Microsoft Ha lavorato con il Comando Cibernetico Polacco (DKWOC) per analizzare questa ultima attività.
Dopo aver sfruttato la vulnerabilità di Outlook, APT28 in genere modifica le autorizzazioni delle cartelle nella casella postale della vittima per consentire l'accesso a qualsiasi persona autenticata all'interno dell'organizzazione. Ciò consente all'attore di accedere a caselle di posta di alto valore tramite qualsiasi account di posta elettronica compromesso nell'organizzazione Exchange , utilizzando il protocollo EWS ( Exchange Web Services).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
APT28 è un gruppo di minacce di successo che viene regolarmente attribuito a nuove attività dannose.
Mentre APT28 è pieno di risorse, il gruppo è anche noto per sfruttare le vulnerabilità poco dopo che sono state pubblicizzate. Pertanto, il patching critico è fondamentale per la protezione contro APT28 attacchi.
2. Le campagne di phishing QR diventano sempre più complesse
Un nuovo rapporto di Cofense descrive in dettaglio le caratteristiche principali delle e-mail di phishing con codice QR (si apre in una nuova scheda), che coprono fonti, soggetti e tipi di domini che gli autori delle minacce spesso sfruttano in queste campagne. Alcune delle caratteristiche comuni tra le e-mail di phishing con codice QR includono captcha, MFA e URL che hanno un reindirizzamento aperto a una pagina di phishing delle credenziali.
Cofense ha esaminato i suoi rapporti sulle minacce attive (ATR) per tutti i rapporti con codici QR. Hanno scoperto che le campagne con captcha erano le più popolari sia per il phishing con codice QR che per tutto il phishing delle credenziali. Il tag MFA è stato il meno popolare tra tutti i report di phishing delle credenziali, ma è stato il secondo per i report di codici QR. Inoltre, il 29% dei loro rapporti sui codici QR ha sfruttato in qualche modo una caratteristica MFA, indicando che queste campagne potrebbero essere più diverse ora rispetto a pochi mesi fa.
Fonti immagine codice QR
I codici QR sono stati generalmente consegnati tramite immagini incorporate in un’e-mail. Tuttavia, poiché gli strumenti sono diventati migliori nel individuare e scansionare i codici QR in questo modo, gli attori delle minacce stanno iniziando a cercare metodi alternativi per la consegna.
Un nuovo metodo alternativo, anche se visto solo in circa il 3% delle campagne, è l’uso dell’API di Google per generare un codice QR. Questo codice QR viene quindi indicato come immagine esterna nell’allegato e-mail o HTML. L' URL genererà un codice QR con un link all' URL scelto dall'attore della minaccia che si trova all'interno dell' URL di googleapis[.]com. Questo metodo potrebbe eludere il rilevamento, per ora, poiché la maggior parte dei gateway di posta elettronica ignorerà le immagini esterne.
Un metodo alternativo più comune è quello di utilizzare un file allegato che ha un codice QR incorporato in esso. Cofense ha scoperto che il 17% delle campagne basate su codice QR osservate utilizzava allegati, un numero che si aspettano di crescere nel prossimo futuro.
Argomenti comuni per le e-mail di phishing con codice QR
Cofense ha scoperto che i soggetti a tema MFA costituivano il 29% delle e-mail con codice QR. Stanno anche iniziando a vedere contenuti più identificabili personalmente in soggetti che richiedono la redazione.
Tipi di dominio
È possibile incorporare diversi tipi di URL in un codice QR. Un tipo di URL è un dominio legittimo che può essere utilizzato per il reindirizzamento. Gli attori delle minacce occasionalmente usano anche abbreviatori di link come Bitly. I domini appartenenti a uno degli abbreviatori di dominio del codice QR sono stati trovati per essere utilizzati circa il 7% delle volte. Il tipo di dominio più comune al 62% era quello malevolo o compromesso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sebbene questa analisi non riveli alcun TTP innovativo quando si tratta di campagne di phishing legate al codice QR, indica che queste campagne potrebbero diventare più diverse di quanto inizialmente pensassimo.
Quando è iniziato il phishing con codice QR, la maggior parte delle e-mail aveva argomenti generici relativi a MFA o reimpostazioni della password. Quello che stiamo vedendo ora è un phishing con codice QR più mirato con soggetti che includono informazioni personali o date specifiche. Stiamo anche iniziando a vedere gli attori delle minacce ruotare man mano che sempre più soluzioni per Detect il phishing del codice QR diventano disponibili, suggerendo che continueremo a vedere il phishing basato sul codice QR per un po 'di tempo.
3. SQL attacco brute force provoca il ransomware BlueSky
Il rapporto DFIR ha recentemente rilevato un’ intrusione in un server MSSQL pubblico (si apre in una nuova scheda) che ha portato alla diffusione del ransomware BlueSky. Il tempo per il ransomware in questo attacco è stato di soli 32 minuti. Il ransomware BlueSky è noto per avere legami con il codice sorgente trapelato di Conti e Babuk.
Circa un anno fa, il rapporto DFIR ha osservato un cluster di attività che mirava ai server MSSQL. Questa attività è iniziata con tentativi di password a forza bruta per l'account amministratore di sistema MS SQL su un server Internet. Sono stati osservati oltre 10.000 tentativi falliti prima di un accesso riuscito. Dopo aver scoperto la password, l'attore della minaccia ha abilitato xp_cmdshell per essere in grado di eseguire comandi di shell sull'host.
- Gli attori della minaccia hanno iniziato con un comando PowerShell per stabilire una connessione a un server Cobalt Strike C2 prima di iniettarsi in winlogon, che è un processo legittimo.
- Il processo iniettato ha generato sia PowerShell che cmd per eseguire scansioni SMB rilevazioni SMB tramite SMBexec.
- La sessione PowerShell ha quindi effettuato una connessione a un server Tor2Mine stager ed eseguito script PowerShell aggiuntivi per verificare i privilegi degli utenti, disabilitare le soluzioni antivirus e rilasciare un payload minerario.
- Appena 15 minuti dopo l'accesso iniziale, gli attori delle minacce si sono spostati lateralmente ai controller di dominio e ai file condivisi tramite la creazione di servizi remoti. I servizi sono stati utilizzati per eseguire i comandi PowerShell e scaricare ed eseguire il malware Tor2Mine .
- 30 minuti dopo l'accesso iniziale, il binario ransomware BlueSky è stato abbandonato ed eseguito sulla testa di ponte. Il tempo per il ransomware è stato di soli 32 minuti.
La fase di esecuzione
Durante questa fase dell'attacco, l'aggressore ha creato una shell di comando tramite Extended SQL Stored Procedure (xp_cmdshell). Ciò consente all'utente di emettere comandi a livello di sistema operativo direttamente nella shell dei comandi di Windows . L'attore ha quindi eseguito un beacon Cobalt Strike e uno script PowerShell che viene utilizzato nella campagna per distribuire Tor2Mine malware.
Il primo script di PowerShell ha eseguito un comando per scaricare un beacon di Cobalt Strike. Questa azione è stata seguita da un'altra esecuzione di PowerShell e quindi da una connessione a diversi Tor2Mine server e URL. Tor2Mine sfrutta gli script di PowerShell per verificare se l'utente attivo è un amministratore e per controllare la versione del sistema operativo. Poi si abbasserà un altro script che è una versione PowerShell di mimikatz. Può disabilitare soluzioni antivirus come MalwareBytes, Sophos e Windows Defender.
Il malware controllerà anche se l'utente è privilegiato. In tal caso, scaricherà e installerà la versione corretta del miner e creerà più attività e servizi pianificati.
ransomware BlueSky
Il binario ransomware BlueSky è stato infine lasciato cadere sulla testa di ponte come vmware.exe. L'esecuzione di questo binario ha portato a ransomware a livello di rete, che è stato infine realizzato tramite SMB come ransomware collegato agli host sulla porta 445 per crittografare i file.
Questi file crittografati sono stati rinominati con l'estensione del file .bluesky. Il ransomware ha rilasciato una nota di riscatto sotto forma di file .txt con il nome “# DECRYPT FILES BLUESKY #.txt”.
L'intero attacco è durato solo circa 30 minuti con una scoperta limitata e nessuna esfiltrazione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Anche se il rapporto DFIR sta solo mettendo questo rapporto su un'intrusione di circa un anno fa, molti dei TTP sono ancora rilevanti e ampiamente utilizzati oggi.
Questo attacco è interessante in quanto non è stata osservata alcuna esfiltrazione di dati, il che probabilmente contribuisce al fatto che l'intero attacco è durato solo poco più di 30 minuti. Inoltre, il tempo che il ransomware impiega 32 minuti è un doloroso promemoria di quanto velocemente un attore di minacce possa raggiungere i propri obiettivi e quindi quanto sia importante il triage tempestivo degli avvisi.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium per iniziare una conversazione.
Per ulteriori letture, recupera i nostri recenti raggruppamenti di informazioni sulle minacce informatiche.
