Vai al contenuto principale
CTI Roundup: Gli Attori delle Minacce Usano Archivi Auto-Estraenti (SFX) per Attacchi Backdoor
Questione emergente

CTI Roundup: Gli Attori delle Minacce Usano Archivi Auto-Estraenti (SFX) per Attacchi Backdoor

Una nuova vulnerabilità SFX consente attacchi backdoor invisibili, un affiliato del ransomware ALPHV sta prendendo di mira Veritas Backup Exec e CTI monitora la comparsa del ransomware Rorschach

Questa settimana, CTI analizza in modo approfondito un rapporto di CrowdStrike riguardante un attore malintenzionato che utilizza archivi autoestraenti (SFX) dannosi per sferrare attacchi tramite backdoor. Successivamente, CTI analizza un rapporto pubblicato su Mandiant che mette in evidenza le attività di un affiliato del ransomware ALPHV/BlackCat, il quale è stato osservato mentre sfruttava tre vulnerabilità note di Veritas Backup per accedere alle reti bersaglio. Infine, CTI conclude il proprio resoconto con un’analisi di un recente attacco nel corso del quale una variante di ransomware, finora senza nome e ora denominata Rorschach, è stata utilizzata contro un’azienda con sede negli Stati Uniti.

1. Gli hacker utilizzano archivi autoestraenti (SFX) per sferrare attacchi backdoor in modo furtivo

Recenti scoperte di CrowdStrike rivelano che un autore di minacce sconosciuto sta sfruttando archivi autoestraenti (SFX) malevoli (si apre in una nuova scheda) per ottenere un accesso backdoor persistente alle reti private. Gli archivi contengono inoltre file di copertura innocui, destinati a eludere il rilevamento.

Cosa sono gli archivi SFX?

Gli archivi autoestraenti sono file eseguibili creati con software di compressione, come WinRAR o 7-Zip. Contengono dati archiviati, insieme al codice necessario per decomprimerli.

  • I ricercatori segnalano sempre più spesso di aver osservato attori malintenzionati che sfruttano file di archivio SFX contenenti funzioni dannose nascoste, non sempre visibili né al destinatario né ai sistemi di rilevamento basati sulla tecnologia.
  • La parte eseguibile del file è nota come “stub di decompressione”; si tratta di uno strumento che consente di condividere file compressi con chi non dispone del software necessario per decomprimere e visualizzare i file di archivio standard.
  • Due tipi comuni di software che consentono la creazione di un archivio SFX sono WinRAR e 7-Zip. Entrambe utilizzano una specifica variante di stub di decompressione ed entrambe presentano caratteristiche che possono essere sfruttate in modo improprio da soggetti malintenzionati.
  • Gli archivi SFX sono talvolta protetti da password. È più probabile che tali soluzioni vengano impiegate in contesti aziendali, in cui si utilizza un prodotto commerciale per crittografare i file, rendendo necessaria una password per accedervi. Questo stesso metodo di protezione dei file viene spesso utilizzato per agevolare le intrusioni.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

“CrowdStrike ha analizzato diversi campioni dannosi di archivi SFX che erano protetti da password o contenevano file innocui, ma che utilizzavano anche i parametri di configurazione di WinRAR per ottenere l’esecuzione dannosa. La loro analisi ha rilevato che tali campioni presentavano tassi di rilevamento relativamente bassi, mettendo in evidenza la loro capacità di eludere un’ampia gamma di strumenti di sicurezza.”

«Non è la prima volta che i file SFX vengono utilizzati in modo improprio nell’ambito di attacchi.» Alla fine dello scorso anno, Kaspersky ha analizzato una campagna di malware che utilizzava collegamenti a file SFX protetti da password per distribuire automaticamente il stealer RedLine. Detto questo, CrowdStrike ritiene che l’uso improprio degli archivi SFX sia una tendenza destinata probabilmente a protrarsi nel prossimo futuro.”

2. Il ransomware ALPHV sfrutta le vulnerabilità di Veritas Backup Exec per ottenere l'accesso iniziale

Mandiant Recentemente è stato osservato un affiliato del ransomware ALPHV/BlackCat che sfruttava attivamente tre vulnerabilità presenti nel prodotto Veritas Backup (si apre in una nuova scheda) di per ottenere l’accesso iniziale alle reti di destinazione.

L’operazione ransomware ALPHV — che Mandiant definisce “ UNC4466 ” — è emersa su dicembre 2021 (si apre in una nuova scheda) e si ritiene sia gestita da ex membri dei programmi Darkside e Blackmatter, che hanno cessato improvvisamente le attività per sfuggire alla pressione delle forze dell’ordine. Era noto che entrambe le operazioni di ransomware sopra menzionate prendessero di mira infrastrutture critiche ed enti sanitari, una tradizione che ALPHV sembra aver mantenuto viva e vegeta. (si apre in una nuova scheda)

Nel mese di marzo del 2021, Veritas ha pubblicato un avviso relativo a un  (si apre in una nuova scheda)in cui vengono descritte in dettaglio tre vulnerabilità critiche presenti nelle versioni 16.x, 20.x e 21.x di Veritas Backup Exec. All’epoca, Veritas aveva dichiarato che era già in circolazione un exploit noto per tali vulnerabilità.

Le vulnerabilità di sicurezza sono le seguenti:

1. Veritas Backup Exec potrebbe consentire a un malintenzionato di accedere senza autorizzazione all’agente BE tramite lo schema di autenticazione SHA.

2. Veritas Backup Exec potrebbe consentire a un malintenzionato di accedere senza autorizzazione all’agente BE tramite lo schema di autenticazione SHA.

3. Veritas Backup Exec Agent potrebbe consentire a un malintenzionato di utilizzare un comando del protocollo di gestione dei dati per eseguire un comando arbitrario sul computer su cui è installato l'agente BE.

Secondo quanto riferito, Veritas avrebbe rilasciato una correzione con la versione 21,2. Tuttavia, secondo Mandiant , un «servizio commerciale di scansione di Internet ha individuato oltre 8.500 installazioni di Veritas Backup Exec attualmente esposte a Internet, alcune delle quali potrebbero non essere state ancora aggiornate e risultare vulnerabili».

BleepingComputer sottolinea che un modulo Metasploit progettato per sfruttare tali vulnerabilità è stato reso pubblico nel mese di settembre del 2022. Il codice consente agli autori degli attacchi di creare una sessione e di interagire con gli endpoint compromessi.

Si ritiene che UNC4466 abbia iniziato a utilizzare questo specifico modulo un mese dopo la sua messa a disposizione.

Dettagli sull'attacco ransomware ALPHV

  • UNC4466 ha inizialmente compromesso un server Windows esposto a Internet su cui era in esecuzione Veritas Backup Exec, utilizzando il modulo Metasploit disponibile pubblicamente.
  • In questo modo, il gruppo UNC4466 ha mantenuto un accesso persistente all’host e, a seguito della compromissione iniziale, ha sfruttato le utility Advanced IP Scanner e ADRecon per raccogliere informazioni relative all’ambiente della vittima.
  • Si è poi osservato che UNC4466 scaricava ulteriori strumenti sull’host compromesso, tra cui Lazagne, Ligolo, WinSW, RClone e, infine, il programma di crittografia ransomware ALPHV tramite il Background Intelligent Transfer Service (BITS).
  • Per mantenere le comunicazioni con il server di comando e controllo, il UNC4466 ha utilizzato il protocollo di tunneling SOCKS5 . Tale operazione, il download di altri strumenti tramite BITS e il rilascio del payload del ransomware sono stati effettuati aggiungendo attività immediate alla politica predefinita del dominio, disabilitando il software di sicurezza ed eseguendo il programma di crittografia.
  • Per elevare i propri privilegi, UNC4466 ha utilizzato Mimikatz, LaZagne e Nanodump per sottrarre credenziali utente valide.
  • Infine, l'autore dell'attacco è riuscito a eludere il rilevamento cancellando i registri degli eventi e disattivando la funzionalità di monitoraggio in tempo reale di Microsoft Defender.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

“Prima che Mandiant osservasse come questa affiliata di ALPHV sfruttasse l’approccio opportunistico volto a sfruttare vulnerabilità note, le intrusioni di ALPHV analizzate da Mandiant derivavano principalmente da credenziali rubate – il che indica un possibile cambiamento nella metodologia di questa affiliata e una rottura con le tradizionali TTP impiegate da ALPHV.”

“I ricercatori nel campo della sicurezza hanno costantemente sottolineato l’importanza di disporre di backup affidabili per consentire il ripristino e ridurre al minimo i tempi di inattività a seguito di un attacco ransomware. Purtroppo, questa vicenda ci ricorda cosa può accadere quando i programmi di backup non vengono aggiornati con le patch e rimangono esposti a Internet.”

3. È emerso il ransomware Rorschach, spingendo gli esperti a mettere in guardia contro strategie di elusione avanzate

Check Point Research ha individuato una variante di ransomware finora sconosciuta — ora denominata Rorschach (si apre in una nuova scheda) — caratterizzata da elevate velocità di crittografia e da componenti e tecniche tecniche uniche, quali l’uso di chiamate di sistema dirette.

Check Point ha scoperto Rorschach nel corso delle indagini relative a un caso di ransomware ai danni di un’azienda con sede negli Stati Uniti. A differenza di molti altri casi di ransomware osservati, questo autore della minaccia non ha cercato di nascondersi dietro uno pseudonimo, né sembrava essere affiliato ad alcuno dei gruppi di ransomware noti.

Un’analisi più approfondita di questo ransomware ha rivelato diverse caratteristiche piuttosto singolari.

  • Il ransomware è parzialmente autonomo e si diffonde automaticamente quando viene eseguito su un controller di dominio (DC).
  • Si è inoltre riscontrato che il ransomware fosse estremamente flessibile, in quanto funzionava con diversi argomenti opzionali che gli consentivano di modificare il proprio comportamento in base alle esigenze dell’operatore.
  • Rorschach sfrutta le chiamate di sistema dirette, una caratteristica che non si riscontra spesso nelle famiglie di ransomware.

Cosa sanno i ricercatori sul test di Rorschach

Flusso di esecuzione

L'esecuzione di Rorschach utilizza tre file:

  1. Cy[.]exe: lo strumento di dump del servizio Cortex XDR di Palo Alto – utilizzato in modo improprio per eseguire il side-loading di winutils[.]dll.
  2. Winutils[.]dll: loader e iniettore Rorschach compressi – utilizzati per decriptare e iniettare il ransomware.
  3. Config[.]ini: Ransomware Encrypted Rorschach – contiene tutta la logica e le impostazioni di configurazione.

Quando viene eseguito cy[.]exe, il file winutils[.]dll viene caricato in memoria e viene eseguito nel contesto di cy[.]exe. Successivamente, viene caricato in memoria anche il payload principale di Rorschach, config[.]ini. Viene decriptato e inserito in Blocco note, dove ha inizio la logica del ransomware.

Tattiche evasive

Questo ransomware genera processi in un modo piuttosto insolito, eseguendoli in modalità SUSPEND e fornendo argomenti falsificati per rendere più difficili le operazioni di analisi e risoluzione. L'argomento falsificato è costituito da una sequenza ripetitiva della cifra “1” , la cui lunghezza dipende da quella dell'argomento reale. Viene riscritto in memoria e sostituito con l'argomento effettivo.

Cerca inoltre di arrestare i servizi predefiniti, elimina i volumi shadow e i backup utilizzando strumenti legittimi di Windows , cancella i registri degli eventi di Windows e disattiva il firewall di Windows .

Autopropagazione

Quando il ransomware viene eseguito su un PC Windows , crea automaticamente una politica di gruppo, diffondendosi così ad altri computer all’interno del dominio.

A tal fine, copia i propri file nella cartella “scripts” del controller di dominio ed elimina i file dalla posizione originale. Successivamente, creerà una politica di gruppo che si copierà automaticamente nella cartella %Public% di tutte le workstation del dominio. Successivamente, crea un’altra politica di gruppo per terminare determinati processi tramite un’attività pianificata che avvia il programma taskkill[.]exe. Infine, crea un’ulteriore politica di gruppo per registrare un’attività pianificata che verrà eseguita immediatamente al momento dell’accesso dell’utente.

In che modo Rorschach è simile ad altri ransomware

Si sospetta che lo schema di crittografia ibrido di Rorschach, menzionato in precedenza, sia stato mutuato dal codice sorgente trapelato del ransomware Babuk.

L’ispirazione tratta da Babuk è evidente in diverse procedure, tra cui l’arresto di processi e servizi. Il codice utilizzato per arrestare i servizi tramite il gestore di controllo dei servizi sembra essere stato copiato direttamente dal codice sorgente di Babuk. Analogamente, l’elenco dei servizi da arrestare nella configurazione di Rorschach corrisponde in modo 1:1 a quello trapelato nel codice sorgente di Babuk.

Anche Rorschach trae ispirazione da LockBit. L'elenco delle lingue utilizzate per bloccare il malware è identico a quello riportato in LockBit v2,0. Anche la rinominazione finale dei file crittografati in Rorschach viene implementata esattamente allo stesso modo di LockBit v2,0 .

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

«Rorschach sembra aver mutuato molte caratteristiche da famiglie di ransomware il cui codice sorgente è trapelato online in un determinato momento.» Sembra che i suoi sviluppatori abbiano combinato diverse funzionalità, selezionate con cura, per creare un nuovo e complesso ransomware che racchiuda le migliori caratteristiche delle varianti di ransomware trapelate.”

«Le capacità di auto-propagazione di Rorschach tramite i criteri di gruppo gli consentono di diffondersi rapidamente e con un intervento manuale minimo o nullo. La sua elevata velocità di crittografia è impressionante, ma sembra incongruo dedicare un tale impegno al miglioramento della crittografia se si considerano le recenti ricerche secondo cui gli autori di attacchi ransomware stanno iniziando ad abbandonare la crittografia per orientarsi verso una pura estorsione, priva di crittografia.

«Il tempo ci dirà se anche Rorschach inizierà ad allontanarsi dalla crittografia oppure se le sue capacità sono sufficientemente uniche da consentirgli di sopravvivere e continuare ad avere successo in un panorama delle minacce in continua evoluzione.»

Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .