Nella rassegna di questa settimana, CTI analizza come l’autore delle minacce TA4557 stia prendendo di mira attivamente i reclutatori tramite e-mail dirette e malware. Successivamente, CTI analizza in che modo gli autori delle minacce stiano sfruttando le applicazioni OAuth per distribuire macchine virtuali destinate al mining di criptovalute, garantire la persistenza e lanciare campagne di spam. Infine, CTI conclude con una panoramica delle analogie a livello tattico e di obiettivi tra l’APT Sandman e il cluster di minacce Red Dev 40, con sede in Cina.
1. TA4557 si rivolge ai reclutatori tramite e-mail
Un autore di attacchi noto come TA4557 (si apre in una nuova scheda) sta prendendo di mira i reclutatori tramite e-mail dirette che comportano l’invio di malware.
Secondo Proofpoint, le e-mail iniziali sono innocue e mirano a instaurare un rapporto di fiducia con la vittima, manifestando interesse per una posizione attualmente vacante presso l’azienda. La catena di attacco ha inizio non appena il responsabile delle assunzioni risponde all’e-mail.
Strategia di campagna TA4557’s
Nelle ultime TA4557 campagne, l’autore dell’attacco sta utilizzando un nuovo metodo che consiste nell’inviare e-mail direttamente ai reclutatori, affiancandolo alla tecnica già in uso di candidarsi alle offerte di lavoro pubblicate su bacheche pubbliche.
Nella catena di attacco che utilizza il nuovo approccio tramite e-mail diretta, affinché l’attacco abbia inizio è necessario che la vittima risponda all’e-mail iniziale, apparentemente innocua. Una volta ricevuta la risposta, l’autore dell’attacco invia un’e-mail del tipo “ URL ” che reindirizza la vittima a un sito web controllato dall’autore stesso, che si presenta come il curriculum di un candidato.
In altri casi, l’autore della truffa risponde inviando un documento PDF o Word contenente le istruzioni per visitare lo stesso sito che ospita il curriculum falso. Le campagne più recenti invitano il destinatario dell’e-mail a fare riferimento al nome di dominio del proprio indirizzo e-mail per accedere al proprio portafoglio, consentendo così all’e-mail di eludere i sistemi di rilevamento.
Se la vittima visita il sito come indicato, vedrà una pagina che riproduce il curriculum di un candidato o un sito generico di offerte di lavoro relativo a tale candidato. Il sito web stesso dispone di un sistema di filtraggio volto a determinare quale debba essere la fase successiva della catena di attacco.
Se i controlli di filtraggio non vengono superati, la vittima viene reindirizzata a una pagina contenente un curriculum in testo semplice; se invece i controlli di filtraggio vengono superati, viene reindirizzata al sito web del candidato. Questo sito web dedicato ai candidati utilizza il CAPTCHA e, una volta completata la procedura, avvierà il download di un file zip contenente un file LNK.
Informazioni su TA4557
Proofpoint sta monitorando il TA4557 sin dal 2018. L'autore sembra agire per motivi economici ed è noto per diffondere la backdoor More_Eggs, che crea un profilo dell' endpoint a e invia ulteriori payload.
Come spiega Proofpoint, l’autore della minaccia si distingue nettamente dagli altri autori di minacce prioritari che l’organizzazione sta monitorando. Ciò è dovuto al loro uso peculiare di malware e strumenti, all’impiego di esche incentrate sui candidati a posti di lavoro, al targeting delle campagne, alle sofisticate misure evasive, alle catene di attacco distintive e all’infrastruttura controllata dagli autori degli attacchi.
Alcune delle precedenti attività del gruppo TA4557 si sovrappongono a quelle del famigerato gruppo FIN6 . Inoltre, il malware TA4557’s viene utilizzato anche da , dal Cobalt Group e da Evilnum.
Sebbene vi siano alcune sovrapposizioni con altri gruppi, si ritiene comunque che il TA4557 costituisca un proprio cluster di attività ben distinto.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa attività è rivolta specificatamente ai reclutatori. Poiché la prima e-mail dell’attacco è innocua, è improbabile che venga individuata dalle soluzioni di sicurezza della posta elettronica. Pertanto, è fondamentale svolgere attività di formazione e sensibilizzazione sul phishing, ma è ancora più importante disporre di corsi di formazione su misura per i dipendenti che ricoprono ruoli in cui potrebbero trovarsi a dover affrontare tipi più specifici di esche di phishing.
2. Gli autori delle minacce utilizzano le applicazioni OAuth per automatizzare gli attacchi BEC e di cryptomining
Gli autori delle minacce stanno ora sfruttando le applicazioni OAuth (si apre in una nuova scheda) come strumento di automazione per distribuire macchine virtuali destinate al mining di criptovalute, garantire la persistenza dopo un attacco BEC e lanciare campagne di spam utilizzando le risorse e il nome di dominio dell’organizzazione.
Microsoft È stato osservato che alcuni autori di attacchi hanno sferrato attacchi di phishing di tipo “ ” e attacchi di “password-spraying” (si apre in una nuova scheda) contro account che non disponevano di un sistema di autenticazione forte, ma che possedevano i permessi per creare e/o modificare applicazioni OAuth.
Che cos’è OAuth?
OAuth è uno standard aperto per l'autenticazione e l'autorizzazione basate su token. Consente alle applicazioni di accedere a dati e risorse in base alle autorizzazioni impostate da un utente. Ciò rende OAuth un obiettivo allettante per gli autori di minacce, che potrebbero cercare di compromettere gli account degli utenti dotati delle autorizzazioni appropriate e utilizzare tali account per creare, modificare e concedere privilegi elevati alle applicazioni OAuth. Questi possono essere utilizzati per nascondere ulteriori attività dannose.
Microsoft ha monitorato l'uso improprio delle applicazioni OAuth, rilevando che ciò consente a un autore di attacchi di mantenere l'accesso alle applicazioni anche qualora perdesse l'accesso all'account inizialmente compromesso.
Applicazioni OAuth per l'implementazione di macchine virtuali destinate al cryptomining
Microsoft È stato osservato in particolare un attore malintenzionato denominato Storm-1283 che utilizzava un account compromesso per creare un'applicazione OAuth.
In questo caso, l’autore dell’attacco lo ha utilizzato per distribuire macchine virtuali destinate al cryptomining. L'attore ha utilizzato l'account compromesso per effettuare l'accesso tramite VPN e ha creato una nuova applicazione OAuth a tenant singolo su , Microsoft e Entra ID. Poiché tale account deteneva un ruolo di titolarità relativo a un abbonamento a Azure , l’autore dell’attacco è riuscito ad assegnare all’applicazione l’autorizzazione relativa al ruolo di “collaboratore”.
L'autore dell'attacco ha quindi sfruttato le applicazioni OAuth esistenti a cui l'utente compromesso aveva accesso, aggiungendo un ulteriore set di credenziali a tali applicazioni. Le organizzazioni prese di mira da questa attività hanno sostenuto costi di elaborazione compresi tra 10.000 e 1,5M dollari.
Applicazioni OAuth per il BEC e il phishing
In un altro attacco, Microsoft ha rilevato che un autore di minacce ha compromesso gli account degli utenti e creato applicazioni OAuth per garantire la persistenza e avviare campagne di phishing via e-mail di tipo “ ”.
È stato utilizzato un kit di phishing di tipo “adversary-in-the-middle” (AiTM) per inviare una vasta campagna di e-mail di phishing, caratterizzate da oggetti e URL diversi, a vittime appartenenti a diverse organizzazioni. Quando la vittima cliccava sul link URL contenuto nell’e-mail, veniva reindirizzata a una pagina di accesso Microsoft che passava attraverso il server proxy dell’autore dell’attacco. Ciò ha consentito loro di sottrarre il token dalla sessione dell’utente Cookie e, successivamente, di utilizzare tale token per eseguire un’operazione di replay dell’ Cookie e di sessione.
- Persistenza dopo l’ BEC: in alcuni casi osservati si è riscontrata un’ulteriore attività successiva alla sessione Cookie attività di riproduzione. In alcuni casi, l’autore dell’attacco utilizzava l’account compromesso per effettuare attività di ricognizione nell’ambito delle truffe BEC, aprendo in OWA allegati e-mail contenenti parole chiave di interesse in ambito finanziario, quali “pagamento” o “fattura”. L'autore dell'attacco creerebbe quindi un'applicazione OAuth e opererebbe nell'ambito della sessione dell'account compromesso per aggiungere nuove credenziali a tale applicazione.
- L'attività di phishing via e-mail: Microsoft ha rilevato alcuni casi in cui l'autore della minaccia non ha effettuato ricognizioni BEC, ma ha invece creato applicazioni OAuth multitenant dopo aver reimpiegato le sessioni rubate Cookie . Tali applicazioni venivano utilizzate per garantire la persistenza, per aggiungere nuove credenziali e per accedere all’API Graph di Microsoft , al fine di inviare e-mail di phishing o semplicemente di leggere le e-mail. Microsoft Sono state individuate circa 17.000 applicazioni OAuth multitenant create dall’autore della minaccia su diversi tenant. È stato inoltre osservato che l’autore dell’attacco ha creato delle regole nella casella di posta in arrivo dell’account compromesso. Complessivamente, le applicazioni dannose hanno inviato oltre 927.000 e-mail di phishing.
Applicazioni OAuth utilizzate per attività di spamming
È stata inoltre rilevata un'attività di spamming su larga scala, condotta da un attore malintenzionato denominato Storm-1286. Questo autore di attacchi ha sferrato attacchi di “password spraying” contro account che, nella maggior parte dei casi, non avevano l’autenticazione a più fattori (MFA) abilitata. Gli account compromessi sono stati quindi utilizzati per creare 1-3 nuove applicazioni OAuth tramite Azure , PowerShell o un client basato su Swagger Codegen. In alcuni casi, l’autore dell’attacco ha atteso mesi dopo aver creato le applicazioni prima di dare il via all’attività di spam.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna si è svolta nell’arco di pochi mesi (da luglio a novembre), ma è riuscita comunque a inviare quasi un milione di e-mail di phishing.
Sebbene Microsoft abbia nel frattempo rimosso tutte le applicazioni OAuth dannose coinvolte in questa campagna, è importante comprendere come si sia verificata tale attività e cosa possiamo fare per proteggere meglio le nostre organizzazioni da questo tipo di minaccia. Microsoft ha fornito diverse misure di mitigazione per proteggersi da tale attività, tra cui l’applicazione dell’autenticazione a più fattori (MFA), l’attivazione di politiche di accesso condizionato, la verifica periodica delle applicazioni e delle autorizzazioni concesse e altro ancora. Microsoft ha inoltre fornito varie informazioni relative alla caccia.
3. Il collegamento tra l’APT Sandman e la backdoor KEYPLUG con sede in Cina
I ricercatori hanno individuato sovrapposizioni a livello tattico e di obiettivi tra l’APT “Sandman” ( ) e “Red Dev 40” ( ) (si apre in una nuova scheda), un gruppo di minacce con sede in Cina noto per l’utilizzo della backdoor KEYPLUG.
La valutazione congiunta condotta da SentinelOne, PwC e Microsoft (si apre in una nuova scheda) si basa sul fatto che sia il malware basato su Lua dell’autore della minaccia, denominato LuaDream, sia KEYPLUG sono stati individuati nelle stesse reti delle vittime.
Il legame tra Sandman e Red Dev 40
Red Dev 40 è un gruppo di minacce che prende di mira principalmente operatori di telecomunicazioni ed enti governativi in Medio Oriente e nell’Asia meridionale, con modalità simili a quelle di Sandman. Sandman e Red Dev 40 presentano numerosi punti in comune, tra cui sovrapposizioni a livello di vittimologia, coabitazione e infrastrutture e pratiche gestionali condivise C2 .
- KEYPLUG, una backdoor modulare, è uno strumento fondamentale nell’arsenale di Red Dev 40’s , ma è stato osservato che viene utilizzato anche da altri attori malintenzionati. Si ritiene che KEYPLUG sia utilizzato da diversi gruppi con sede in Cina.
Il gruppo Red Dev 40 si distingue dagli altri gruppi che utilizzano KEYPLUG in base a specifiche caratteristiche del malware, quali le chiavi di crittografia univoche per la comunicazione C2 . Sono inoltre noti per il loro elevato livello di sicurezza operativa, che comprende l’utilizzo di un’infrastruttura di reverse proxy basata su cloud per nascondere la vera ubicazione dei loro C2 server.
- LuaDream è una backdoor modulare basata su LuaJIT. I ricercatori hanno rilevato la presenza del malware LuaDream di Sandman e degli implant KEYPLUG negli stessi ambienti delle vittime, in alcuni casi sugli stessi endpoint.
In un caso, KEYPLUG è stato implementato ben tre mesi prima di LuaDream ed entrambi sono rimasti attivi contemporaneamente per circa due settimane. A look at the implementation and C2 infrastructure of these malware revealed shared development and infrastructure.
LuaDream e KEYPLUG
La variante di malware KEYPLUG è implementata in C++, mentre la maggior parte dei componenti di LuaDream è implementata in Lua.
I ricercatori hanno analizzato campioni di entrambe le varianti di malware e hanno confermato che, sebbene non sembrino provenire dalla stessa fonte, presentano indicatori di pratiche di sviluppo comuni e altre somiglianze.
La loro ricerca indica che le due varianti di malware condividono requisiti funzionali stabiliti dagli operatori, cosa che non è rara per il malware di origine cinese.
- C2: Entrambe le varianti di malware presentano una struttura altamente modulare e multiprotocollare. Entrambi supportano i protocolli HTTP, TCP, WebSocket e QUIC per la comunicazione C2 . L'ordine in cui il malware valuta i protocolli configurati è lo stesso: HTTP, TCP, WebSocket e QUIC, in quest'ordine.
KEYPLUG offre un supporto aggiuntivo per il protocollo UDP che LuaDream non prevede. Tuttavia, poiché si ritiene che LuaDream sia ancora in fase di sviluppo, è possibile che le future versioni di LuaDream supportino il protocollo UDP.
- a di gestione dei dati di esecuzione/C2 : Il flusso di esecuzione complessivo di LuaDream e KEYPLUG è molto simile. Entrambe iniziano con la raccolta e l’esfiltrazione di informazioni relative al sistema e agli utenti e presentano elementi in comune per quanto riguarda i dati raccolti. Successivamente, creano thread che invieranno e riceveranno dati C2 , stabiliranno una connessione con il server C2 , elaboreranno i comandi della backdoor e gestiranno i plugin.
Entrambi i malware memorizzano inoltre informazioni sovrapposte relative ai buffer globali, tra cui gli indirizzi di memoria iniziali, le dimensioni e i puntatori alle strutture CRITICAL_SECTION dell' Windows . Entrambe sono progettate per leggere da questi buffer e per scrivere su di essi. Entrambe genereranno inoltre valori una tantum basati sul tempo di attività del sistema restituito dalla funzione GetTickCount. Questo valore viene calcolato allo stesso modo e viene utilizzato per gli intervalli di sospensione o per le chiavi specifiche del protocollo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il panorama delle minacce legate agli attori malintenzionati con sede in Cina è incredibilmente complesso, soprattutto se si considera la frequenza con cui tali attori condividono strumenti personalizzati.
Questa disponibilità a condividere gli strumenti rende meno sorprendente il fatto che si osservino attori come Sandman che presentano sovrapposizioni a livello di infrastruttura e TTP con un cluster di minacce con sede in Cina.
Inoltre, il malware basato su Lua è stato rilevato solo in pochissimi casi (da ultimo negli attacchi zero-day ai danni di Cisco), pertanto la crescente diffusione di Lua è certamente un fenomeno da tenere d’occhio.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .