Uno studio sorprendente rivela come le attività informatiche offensive associate al conflitto tra Russia e Ucraina abbiano avuto un impatto ben limitato al di fuori dei confini del dominio informatico collegato al teatro delle operazioni del conflitto. Successivamente, esaminiamo il nuovo toolkit EvilProxy di tipo “phishing-as-a-service” (PhaaS), attualmente pubblicizzato nell’ambiente criminale come un nuovo metodo a disposizione degli autori delle minacce per aggirare l’autenticazione a due fattori (2FA). Condividiamo inoltre un recente rapporto di BlackBerry relativo a un’operazione di ransomware di recente emersione che si autodefinisce “Monti”.
1. L'impatto degli attacchi informatici offensivi collegati alla Russia e all'Ucraina
Un nuovo studio pubblicato su * * rivela (si apre in una nuova scheda) che gli attacchi informatici legati al conflitto tra Russia e Ucraina hanno avuto un impatto limitato al di fuori del teatro delle operazioni ed è improbabile che si intensifichino ulteriormente.
Lo studio si concentra principalmente sulle attività della comunità clandestina del crimine informatico (hacktivisti, organizzazioni criminali informatiche, bande di autori di ransomware, ecc.), sebbene sia possibile trarne conclusioni applicabili anche agli attori di alto livello nel campo delle minacce.
I ricercatori dell’ , dell’Università di Cambridge, dell’Università di Edimburgo e dell’Università di Strathclyde hanno esaminato i dati (si apre in una nuova scheda)raccolti nei due mesi precedenti e nei quattro mesi successivi all’inizio delle operazioni militari russe in Ucraina. Hanno analizzato 281.000 attacchi di defacement a siti web, 1,7 milioni di attacchi distribuiti di tipo denial-of-service (DDoS) e centinaia di annunci su Telegram utilizzati dagli hacker per coordinare la propria attività.
Ciò che i ricercatori avevano previsto
Inizialmente, le attività informatiche ostili tra le due nazioni sembravano confermare le previsioni del settore. La Russia è stata la prima a subire un attacco su larga scala, seguita dall’Ucraina pochi giorni dopo. Tuttavia, nel giro di circa due settimane, gli attacchi informatici erano tornati a quelli che i ricercatori descrivono come livelli pre-conflitto.
È proprio qui che i dati diventano davvero interessanti. Le seguenti informazioni emerse dallo studio evidenziano i contrasti tra ciò che gli addetti ai lavori si aspettavano di osservare nel corso di questo conflitto e ciò che si è effettivamente verificato.
Allo scoppio del conflitto, l’opinione prevalente nel settore era che il principale rischio informatico rappresentato dal conflitto fosse la minaccia di attacchi sofisticati e distruttivi alle infrastrutture critiche su cui si fondano entrambe le nazioni. Gli esperti del settore non hanno tardato a prevedere che la Russia avrebbe dato prova delle proprie capacità di hacking, scatenando contro le infrastrutture critiche dell’Ucraina i suoi famigerati gruppi di minacce persistenti avanzate (APT), sostenuti dai servizi di intelligence statali e militari e collegati al GRU, all’FSB e all’SVR, quali il APT29 o il APT28. Entrambi questi attori sono noti per la loro sofisticatezza e per gli strumenti avanzati di cui dispongono.
Ma la preoccupazione maggiore, come espresso dall’FBI, dalla CISA e ribadita da una schiera di esperti del settore della sicurezza informatica, era il rischio di ricadute legate all’ (si apre in una nuova scheda) – termine utilizzato per descrivere il rischio che malware distruttivo o operazioni informatiche ostili sfuggissero ai confini del teatro operativo dell’Europa orientale e raggiungessero obiettivi occidentali, sia per caso, sia come ritorsione per le sanzioni o altre misure punitive imposte alla Russia a causa della sua presunta belligeranza nei confronti di una nazione amica degli Stati Uniti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Per CTI, i risultati di questo studio rappresentano un microcosmo del conflitto tra Russia e Ucraina e delle attività informatiche ad esso correlate. Il dominio informatico associato a questo teatro operativo è chiaramente una sorta di “Far West”, in cui hacktivisti di basso livello e criminali informatici sperimentano nuove tecniche di attacco e scelgono i propri obiettivi per divertimento, per la sfida che questi rappresentano o per pura noia. Analogamente, gli APT sostenuti dallo Stato attivi in questo conflitto sembrano averlo utilizzato come una sorta di banco di prova per nuovi strumenti e nuove tattiche. "Riteniamo che sia una fortuna che, finora, si siano verificati pochi (se non addirittura nessun) effetti a catena, tanto pubblicizzati, contro i quali ci avevano messo in guardia le nostre agenzie di sicurezza informatica."
"Naturalmente, data la sofisticatezza e l’attenzione alla sicurezza operativa (OPSEC) attribuite ad alcuni dei gruppi che sicuramente operano dietro le quinte in questo contesto (APT29, APT28, ecc.), non ci sorprenderebbe se nei prossimi mesi venissimo a conoscenza di episodi di ricaduta.”
2. Il nuovo toolkit “phishing-as-a-service” EvilProxy consente ai criminali informatici di aggirare 2FA misure di sicurezza
Un recente rapporto della società di sicurezza informatica Resecurity, Inc. rivela l’esistenza di un nuovo toolkit di phishing-as-a-service (PhaaS), denominato EvilProxy (si apre in una nuova scheda), che viene pubblicizzato nell’underground criminale come strumento che consente agli autori delle minacce di aggirare 2FA. Il servizio consente ad autori di minacce poco esperti di sottrarre account online che sarebbero altrimenti ben protetti, sfruttando metodi di iniezione di “reverse proxy ” e “ Cookie” per aggirare il 2FA.
Che cos’è EvilProxy?
EvilProxy, noto anche come Moloch secondo altre fonti, è stato scoperto e pubblicizzato sul dark web come un nuovo PhaaS.
La prima menzione di EvilProxy è stata rilevata su maggio 2022 quando i suoi gestori hanno pubblicato un video dimostrativo in cui spiegavano in dettaglio come lo strumento potesse essere utilizzato per diffondere link di phishing avanzati , con l’intento di compromettere gli account degli utenti appartenenti a marchi di primo piano quali Apple, Facebook, GoDaddy, GitHub, Google, Dropbox, Instagram, Microsoft, Twitter, Yahoo, Yandex e altri. EvilProxy supporta inoltre attacchi di phishing contro PyPI, il che è piuttosto una coincidenza, considerando che PyPI è stato oggetto del primo attacco di phishing noto a (si apre in una nuova scheda)proprio la scorsa settimana.
EvilProxy si basa sul principio del “proxy inverso”, che utilizza un reverse proxy (si apre in una nuova scheda) per recuperare tutti i contenuti legittimi che un utente si aspetterebbe di vedere, come le pagine di accesso, ma intercetta il traffico mentre questo transita attraverso il proxy. Più precisamente, un “reverse proxy ” è un server che si interpone tra la vittima e un sito endpoint legittimo, come ad esempio il modulo di accesso di un’azienda. Quando la vittima tenta di collegarsi a una pagina di phishing, l’ proxy e inverso visualizzerà il modulo di accesso legittimo e, quando la vittima inserisce le proprie credenziali nella pagina di phishing, viene reindirizzata al server della piattaforma effettiva. Tuttavia, poiché il server proxy funge da intermediario, può anche intercettare la sessione Cookie contenente il token di autenticazione. Le credenziali di autenticazione Cookie possono quindi essere utilizzate dall'autore dell'attacco per accedere al sito nei panni dell'utente, aggirando così le protezioni MFA.
Dopo l'attivazione, all'operatore verrà richiesto di fornire le credenziali SSH per procedere all'implementazione di un container Docker e di una serie di script. Tale approccio è stato utilizzato anche in un altro servizio PhaaS denominato "Frappo", individuato quest'anno da Resecurity. Una volta implementati, gli script reindirizzeranno il traffico proveniente dalle vittime attraverso 2 gateway definiti come “upstream”.
Tecniche anti-rilevamento
Gli autori delle minacce dietro EvilProxy utilizzano diverse tecniche per impedire che il toolkit PhaaS venga individuato. Analogamente alle soluzioni di prevenzione delle frodi e di intelligence sulle minacce informatiche, essi raccolgono dati relativi a servizi VPN noti, proxy, nodi di uscita TOR e altri host che potrebbero essere utilizzati per l’analisi della reputazione degli indirizzi IP. Nel caso in cui sospettino che si tratti di un bot o di un ricercatore, interrompono la connessione o la reindirizzano verso un host specifico. EvilProxy si dimostra inoltre molto attento nell’individuare eventuali macchine virtuali, solitamente utilizzate dagli analisti di sicurezza per lo studio dei contenuti dannosi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Gli autori di EvilProxy sembrano adottare diverse misure aggiuntive per garantire che il toolkit vanti una portata ampia ed efficace. Per cominciare, il numero di video didattici messi a disposizione dagli autori delle minacce è impressionante. Molti illustrano letteralmente, passo dopo passo, le misure che gli hacker devono adottare per implementare con successo EvilProxy. Questi video consentono agli autori di minacce, indipendentemente dal loro livello di sofisticazione, di avvalersi di tale toolkit per aggirare l’autenticazione a più fattori (MFA) e sottolineano ulteriormente quanto sia facile entrare nel mondo della criminalità informatica."
"L'aspetto più degno di nota di EvilProxy è il fatto che i gestori sottopongano a un controllo i clienti che intendono acquistare il toolkit. Non è chiaro in cosa consista il processo di verifica, ma l’esistenza di tale processo indica che alcuni potenziali acquirenti vengono probabilmente scartati. CTI vorrebbe sapere quali potrebbero essere i fattori determinanti per l’esclusione… eventuali precedenti negativi permanenti?”
3. Il curioso caso del ransomware “Monti”: un sosia nella realtà
Un recente rapporto redatto dal team di risposta agli incidenti di BlackBerry, intitolato “ ” (si apre in una nuova scheda) , descrive in dettaglio un attacco sferrato da un gruppo finora sconosciuto che si fa chiamare Monti. La maggior parte degli IOC individuati nell’attacco Monti è stata rilevata anche in precedenti casi di ransomware Conti.
Il gruppo di ransomware Monti: una panoramica
Sebbene le informazioni disponibili sul gruppo di ransomware Monti siano limitate, i ricercatori di BlackBerry ritengono che questo attore malintenzionato sia emerso tra maggio e il giugno 2022. I ricercatori sospettano che il gruppo abbia deliberatamente imitato le TTP del più noto gruppo di ransomware Conti, insieme a molti dei suoi strumenti e al payload di crittografia. Le comunicazioni interne di Conti, i log delle chat, le guide di formazione, il codice sorgente, ecc. sono stati tutti divulgati pubblicamente (si apre in una nuova scheda) all’inizio dell’anno. Questa fuga di informazioni ha di fatto fornito agli autori delle minacce legate a Monti (e probabilmente a molti altri autori di minacce) una guida dettagliata per imitare gli attacchi di Conti, noti per il loro grande successo.
L'attacco del ransomware Monti
Nel mese di luglio, il team di risposta agli incidenti di BlackBerry Security Services è stato incaricato di condurre un’indagine forense su un evento di sicurezza legato a un ransomware. Si ritiene che l’autore dell’attacco abbia ottenuto l’accesso iniziale sfruttando la nota vulnerabilità Log4Shell (CVE-2021-44228 (si apre in una nuova scheda)) nel sistema di virtualizzazione Horizon VMware del cliente, esposto a Internet.
Quando BlackBerry è stata coinvolta, l’autore dell’attacco aveva già crittografato 18 computer desktop degli utenti. L'autore dell'attacco ha inoltre crittografato un cluster ESXi composto da tre server, con conseguenti ripercussioni su 21 server virtualizzati.
Dopo essersi introdotto nell’ambiente della vittima, l’autore dell’attacco ha installato il browser Google Chrome e lo ha utilizzato per scaricare vari strumenti di attacco. L'autore dell'attacco ha inoltre scaricato e installato due agenti di monitoraggio e manutenzione remota, tra cui AnyDesk e Action1. Tali agenti sono stati utilizzati per garantire la persistenza e hanno consentito un ulteriore accesso remoto.
Gli strumenti che l’autore dell’attacco ha introdotto nell’ambiente sono stati utilizzati anche per estrarre le credenziali dalla memoria e per eseguire una scansione della rete. Inoltre, il protocollo RDP (Remote Desktop Protocol) integrato in Microsoft Windows è stato utilizzato per connettersi ad altri server, accedere a file di dati su condivisioni di rete e, infine, per distribuire la variante di ransomware denominata “Monti”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sebbene l’ipotesi non sia del tutto da escludere, non vi sono prove concrete che Conti abbia cambiato nome in Monti.» La disponibilità pubblica del codice sorgente di Conti rende plausibile che Monti abbia semplicemente sfruttato tali informazioni per creare un proprio ransomware basato su Conti.
Considerato il successo ormai notorio di Conti, un vero e proprio rebranding di Conti risulterebbe più complesso del semplice riutilizzo del codice sorgente trapelato, ma questa è solo la nostra modesta opinione. Il riutilizzo di molte delle TTP di Conti potrebbe fornire ai ricercatori di sicurezza e agli addetti alla difesa un vantaggio in termini di allerta e rilevamento del ransomware Monti.
Sebbene il riutilizzo del codice sorgente di Conti possa essere una mossa strategica, il riutilizzo della richiesta di riscatto vera e propria risulta strano e quasi ironico. Le richieste di riscatto sono identiche, fatta eccezione per l’uso del termine “Monti” al posto di “Conti” e per un dominio onion diverso. Il testo del messaggio recita ancora: «Se non sapete chi siamo, cercateci su Google », il che non ha molto senso, considerando che Monti è un sito nuovo e che attualmente restituisce pochissimi risultati in una ricerca su Google .
Vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su:. Oppure provi subito la soluzione " " () di Tanium per Converged Endpoint Management (XEM).
