Nella rassegna di questa settimana, CTI analizza una campagna in corso condotta dal gruppo APT28 , legato a uno Stato-nazione, in cui l’autore della minaccia sfrutta una vulnerabilità critica di sicurezza in Outlook per sottrarre informazioni sensibili. Successivamente, CTI analizza le principali caratteristiche delle e-mail di phishing con codice QR , comprese le fonti, gli oggetti e i domini più comuni che gli autori delle minacce utilizzano nei propri attacchi. CTI analizza inoltre una recente intrusione in un server MSSQL accessibile al pubblico che ha portato alla diffusione del ransomware BlueSky.
1. APT28 sfrutta una vulnerabilità critica di Outlook
Il gruppo APT28 “ ”, sostenuto dal Cremlino (si apre in una nuova scheda), (noto anche come Fancy Bear) sta sfruttando attivamente una vulnerabilità critica, ora corretta, nel servizio di posta elettronica Outlook. Il gruppo APT28 sta sfruttando CVE-2023-23397 (si apre in una nuova scheda) per ottenere accesso non autorizzato agli account Microsoft Exchange e sottrarre informazioni sensibili.
CVE-2023-23397 è una vulnerabilità di escalation dei privilegi critici di tipo " " (si apre in una nuova scheda) su Microsoft Outlook su Windows. Per sfruttare questa vulnerabilità, l’autore dell’attacco invierà all’utente un messaggio appositamente modificato. L'autore dell'attacco può specificare il valore di PidLidReminderFileParameter per provocare una fuga di hash Net-NTLMv2 verso i server da lui controllati. Non è necessario che la vittima interagisca con il messaggio e-mail. L’attacco avrà luogo purché Outlook sia aperto nel momento in cui scatta il promemoria.
Tutte le versioni di Outlook su Windows sono state interessate da questa vulnerabilità, mentre Outlook per Android, iOS, Mac e OWA non ne sono stati colpiti. Microsoft ha ricondotto le prove di un potenziale sfruttamento di questa vulnerabilità al sito aprile 2022. Questa vulnerabilità è stata segnalata per la prima volta nel marzo del 2023 e, da allora, è stata resa disponibile una patch.
Informazioni su APT28
Sebbene questa vulnerabilità sia stata resa nota diversi mesi fa, Microsoft ha recentemente confermato che APT28 la sta sfruttando attivamente. APT28 — noto anche come Forest Blizzard e Fancy Bear — è un gruppo di hacker russo che è stato ricondotto alla Direzione principale dei servizi segreti dello Stato Maggiore Generale russo (GRU).
Il gruppo è attivo almeno dal 2004 e tende a prendere di mira enti governativi, aziende del settore energetico e dei trasporti, nonché organizzazioni non governative negli Stati Uniti, in Europa e in Medio Oriente. È noto che il gruppo APT28 sfrutta negli attacchi exploit disponibili pubblicamente, dedicando una parte consistente dell’ settembre 2023 e a sfruttare la vulnerabilità di WinRAR (CVE-2023-38831) contro obiettivi governativi ucraini. Si ritiene che il gruppo disponga di risorse adeguate e sia ben addestrato, perfezionando costantemente le proprie tattiche, tecniche e procedure (TTP) e utilizzando nuovi malware personalizzati.
APT28 sta ora sfruttando attivamente la vulnerabilità di Outlook, risalente a nove mesi fa, nei propri attacchi per ottenere l’accesso non autorizzato agli account di posta elettronica ospitati sui server di Exchange . Microsoft ha collaborato con il Comando informatico polacco (DKWOC) per analizzare questa recente attività.
Dopo aver sfruttato la vulnerabilità di Outlook, APT28 modifica solitamente i permessi delle cartelle nella casella di posta della vittima per consentire l’accesso a qualsiasi utente autenticato all’interno dell’organizzazione. Ciò consente all'autore dell'attacco di accedere a caselle di posta contenenti informazioni di grande valore tramite qualsiasi account di posta elettronica compromesso all'interno dell'organizzazione Exchange , utilizzando il protocollo EWS ( Exchange ).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
APT28 è un gruppo di cybercriminali di successo a cui vengono regolarmente attribuite nuove attività dannose.
Sebbene il gruppo APT28 sia ingegnoso, è noto anche per sfruttare le vulnerabilità poco dopo che queste vengono rese pubbliche. Pertanto, l’applicazione delle patch critiche è fondamentale per proteggersi dagli attacchi APT28 .
2. Le campagne di phishing tramite codici QR diventano sempre più complesse
Un nuovo rapporto di Cofense illustra in dettaglio le principali caratteristiche delle e-mail di phishing basate sui codici QR (si apre in una nuova scheda), analizzando le fonti, gli oggetti e i tipi di domini che gli autori delle minacce utilizzano spesso in queste campagne. Tra le caratteristiche comuni alle e-mail di phishing che utilizzano codici QR figurano i captcha, l’autenticazione a più fattori (MFA) e gli URL che contengono un reindirizzamento aperto verso una pagina di phishing volta a sottrarre credenziali.
Cofense ha riesaminato i propri rapporti sulle minacce attive (ATR) per tutte le segnalazioni corredate di codici QR. Hanno riscontrato che le campagne che utilizzavano il captcha erano le più diffuse sia per il phishing tramite codice QR sia per tutte le forme di phishing finalizzate al furto di credenziali. Il tag MFA è risultato il meno diffuso tra tutte le segnalazioni di phishing relative alle credenziali, ma si è classificato al secondo posto, a breve distanza, nelle segnalazioni relative ai codici QR. Inoltre, il 29% dei loro report sui codici QR ha sfruttato in qualche modo una funzionalità MFA, il che indica che queste campagne potrebbero essere oggi più diversificate rispetto a pochi mesi fa.
Fonti delle immagini dei codici QR
I codici QR vengono solitamente forniti tramite immagini incorporate in un’e-mail. Tuttavia, poiché gli strumenti sono diventati più efficaci nell’individuare e scansionare i codici QR in questo modo, gli autori delle minacce stanno iniziando a cercare metodi alternativi per la diffusione.
Un nuovo metodo alternativo — sebbene utilizzato solo in circa il 3% delle campagne — consiste nell’uso dell’API di Google per generare un codice QR. Questo codice QR viene quindi inserito come immagine esterna nell'e-mail o nell'allegato HTML. L’ URL e genererà un codice QR contenente un link all’ URL prescelto dall’autore della minaccia, che si trova all’interno dell’ URL googleapis[.]com. Questo metodo potrebbe sfuggire al rilevamento, per il momento, poiché la maggior parte dei gateway di posta elettronica ignora le immagini esterne.
Un metodo alternativo più diffuso consiste nell’utilizzare un file allegato in cui è incorporato un codice QR. Cofense ha rilevato che il 17% delle campagne basate su codici QR da essa osservate faceva uso di allegati, una percentuale che, secondo le sue previsioni, è destinata ad aumentare nel prossimo futuro.
Oggetti ricorrenti nelle e-mail di phishing con codice QR
Cofense ha rilevato che gli oggetti relativi all’autenticazione a più fattori (MFA) rappresentavano il 29% delle e-mail contenenti codici QR. Stanno inoltre iniziando a riscontrare un numero crescente di contenuti contenenti dati personali in argomenti che richiedono la cancellazione di tali informazioni.
Tipi di dominio
È possibile incorporare diversi tipi di URL in un codice QR. Un tipo di " URL " è un dominio legittimo che può essere utilizzato per il reindirizzamento. Gli autori delle minacce ricorrono talvolta anche a servizi di accorciamento dei link come Bitly. È emerso che i domini appartenenti a uno dei servizi di accorciamento dei domini per codici QR venivano utilizzati in circa il 7% dei casi. Il tipo di dominio più diffuso, con una percentuale del 62%, era costituito da domini dannosi o compromessi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sebbene questa analisi non riveli alcuna tecnica, tattica o procedura (TTP) rivoluzionaria per quanto riguarda le campagne di phishing legate ai codici QR, essa indica tuttavia che tali campagne potrebbero diventare più diversificate di quanto si pensasse inizialmente.
Quando il phishing tramite codici QR ha fatto la sua comparsa, la maggior parte delle e-mail presentava oggetti generici relativi all’autenticazione a più fattori (MFA) o alla reimpostazione delle password. Quello a cui stiamo assistendo attualmente è un fenomeno di phishing tramite codici QR sempre più mirato, con oggetti che includono informazioni personali o date specifiche. Stiamo inoltre iniziando a osservare un cambiamento di strategia da parte degli autori delle minacce, man mano che diventano disponibili sempre più soluzioni per contrastare il phishing d Detect o tramite codici QR; ciò suggerisce che continueremo ad assistere a casi di phishing basati sui codici QR ancora per qualche tempo.
3. SQL Un attacco di forza bruta porta al ransomware BlueSky
Il DFIR Report ha recentemente rilevato un’intrusione di tipo “ ” su un server MSSQL accessibile al pubblico (si apre in una nuova scheda) che ha portato all’installazione del ransomware BlueSky. Il tempo trascorso dall'inizio dell'attacco fino al pagamento del riscatto è stato di soli 32 minuti. È noto che il ransomware BlueSky abbia legami con il codice sorgente trapelato di Conti e Babuk.
Circa un anno fa, il DFIR Report ha rilevato un’ondata di attività che prendeva di mira i server MSSQL. Tale attività è iniziata con tentativi di forzatura della password tramite metodo "brute force" per l'account dell'amministratore di sistema " SQL " di MS su un server connesso a Internet. Sono stati registrati oltre 10.000 tentativi falliti prima che l'accesso andasse a buon fine. Dopo aver scoperto la password, l’autore dell’attacco ha abilitato xp_cmdshell per poter eseguire comandi della shell sull’host.
- Gli autori dell'attacco hanno iniziato con un comando ` PowerShell ` per stabilire una connessione a un server Cobalt Strike C2 , prima di iniettarsi in `winlogon`, che è un processo legittimo.
- Il processo iniettato ha avviato sia “ PowerShell ” che “cmd” per eseguire scansioni “ SMB ” e operazioni di rilevamento tramite SMBexec.
- La sessione PowerShell ha quindi stabilito una connessione con un server di staging Tor2Mine ed ha eseguito ulteriori script PowerShell per verificare i privilegi dell’utente, disattivare le soluzioni antivirus e rilasciare un payload di mining.
- Appena 15 minuti dopo l’accesso iniziale, gli autori dell’attacco si sono spostati lateralmente verso i controller di dominio e i file condivisi tramite la creazione di servizi remoti. Tali servizi sono stati utilizzati per eseguire comandi " PowerShell " e per scaricare ed eseguire il malware Tor2Mine .
- 30 minuti dopo l’accesso iniziale, il file binario del ransomware BlueSky è stato trasferito ed eseguito sulla testa di ponte. Il tempo trascorso prima dell'attacco ransomware è stato di soli 32 minuti.
La fase di esecuzione
Durante questa fase dell’attacco, l’autore della minaccia ha creato una shell di comando tramite la procedura memorizzata “Extended SQL ” (xp_cmdshell). Ciò consente all'utente di impartire comandi a livello di sistema operativo direttamente alla shell di comando Windows . L'autore dell'attacco ha quindi eseguito un beacon di Cobalt Strike e uno script " PowerShell ", utilizzati nella campagna per distribuire Tor2Mine malware.
Il primo script di tipo “ PowerShell ” ha eseguito un comando per scaricare un beacon di Cobalt Strike. A questa operazione ha fatto seguito un’altra esecuzione di PowerShell , seguita da una connessione a diversi server e URL Tor2Mine . Tor2Mine utilizza gli script PowerShell per verificare se l’utente attivo sia un amministratore e per controllare la versione del sistema operativo. A quel punto scaricherà un altro script, ovvero una versione “ PowerShell ” di Mimikatz. Può disattivare soluzioni antivirus quali MalwareBytes, Sophos e Windows Defender.
Il malware verificherà inoltre se l'utente dispone di privilegi. In tal caso, scaricherà e installerà la versione corretta del miner e creerà diverse attività pianificate e servizi.
Ransomware BlueSky
Il file binario del ransomware BlueSky è stato infine rilasciato nella zona di testa d'assalto con il nome vmware.exe. L'esecuzione di questo file binario ha provocato un attacco ransomware su tutta la rete, che è stato infine portato a termine tramite SMB , poiché il ransomware si è connesso agli host tramite la porta 445 per crittografare i file.
Questi file crittografati sono stati rinominati con l'estensione .bluesky. Il ransomware ha lasciato una richiesta di riscatto sotto forma di file .txt denominato “# DECRYPT FILES BLUESKY #.txt”.
L'intero attacco è durato solo circa 30 minuti, con un'individuazione limitata e nessuna esfiltrazione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sebbene The DFIR Report stia pubblicando solo ora questo rapporto su un’intrusione avvenuta circa un anno fa, molte delle TTP sono ancora attuali e ampiamente utilizzate al giorno d’oggi.
Questo attacco è interessante in quanto non è stata osservata alcuna esfiltrazione di dati, il che probabilmente contribuisce al fatto che l’intero attacco sia durato poco più di 30 minuti. Inoltre, il fatto che il tempo trascorso prima dell’attacco ransomware sia stato di 32 minuti costituisce un doloroso promemoria di quanto rapidamente un autore di minacce possa raggiungere i propri obiettivi e, di conseguenza, di quanto sia importante una valutazione tempestiva degli allarmi.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
