Questa settimana, CTI analizza i motivi per cui il framework di comando e controllo Sliver (C2) sta riscuotendo sempre maggiore successo tra gli autori delle minacce come alternativa open source a strumenti quali Cobalt Strike e Metasploit. Di seguito, analizzeremo in modo approfondito le ultime evoluzioni di Emotet. È inoltre inclusa una panoramica di un’operazione in cui un attore malintenzionato, sospettato di avere legami con la Cina, ha sfruttato una vulnerabilità recentemente corretta nella VPN FortiOS di Fortinet SSL, utilizzando il bug come vulnerabilità zero-day in attacchi rivolti a un ente governativo europeo e a un fornitore di servizi gestiti (MSP) con sede in Africa.
1. Gli autori delle minacce ricorrono a Sliver come alternativa open source ai diffusi framework C2
Sliver è uno strumento utilizzato dai professionisti della sicurezza nelle operazioni del “red team” per controllare da remoto i sistemi compromessi durante le valutazioni di sicurezza. Si tratta di un framework multipiattaforma per il post-exploitation basato su Golang, paragonabile a Cobalt Strike e Metasploit.
Secondo un nuovo rapporto di Cybereason pubblicato su , intitolato “ ” (si apre in una nuova scheda), Sliver sta diventando sempre più popolare tra i criminali informatici, soprattutto perché è open source, modulare e multipiattaforma (OS X, Linux e Windows) — il che lo rende flessibile e pratico. Il framework supporta molte delle funzionalità fondamentali necessarie per la simulazione di avversari, quali la generazione dinamica di codice, l’offuscamento in fase di compilazione, la modalità multigiocatore e altro ancora.
L'ecosistema Sliver C2 è costituito da quattro componenti principali. È dotato di una console server che funge da interfaccia principale, di un server C2 , di una console client e di un implant che costituisce il codice dannoso eseguito sul sistema di destinazione.
Attori malintenzionati che attualmente utilizzano Sliver C2
APT29/Orsetto coccoloso
Il gruppo APT29, associato a Russia, è stato individuato da diverse organizzazioni mentre utilizzava Sliver C2 per garantire la persistenza su una rete compromessa. Un rapporto del National Cyber Security Centre (si apre in una nuova scheda) (NCSC) rileva che l’uso di Sliver sia stato probabilmente un tentativo di mantenere l’accesso a diverse vittime.
TA551
Proofpoint ha individuato le e-mail (si apre in una nuova scheda),e contenenti allegati di Office Microsoft con macro che hanno portato all’implementazione del framework Sliver C2 . In questo caso, Sliver è stato caricato dopo il vettore di infezione iniziale, a differenza dei TA551 casi osservati in precedenza.
Giglio esotico
Cybereason aveva già segnalato in precedenza su (si apre in una nuova scheda) le infezioni causate dal loader BumbleBee, che hanno portato all’implementazione di un framework C2 . È stato osservato che Exotic Lily sta diffondendo un loader di tipo BumbleBee che, in ultima analisi, ha portato all’implementazione di Sliver C2.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Sliver è stato utilizzato come arma dagli autori delle minacce sin dal suo rilascio nel 2020 e continua a guadagnare popolarità nell’ Community della criminalità informatica.”
"Sebbene Sliver sia un framework di grande impatto (motivo per cui gli autori delle minacce lo utilizzano attivamente), non è l'unico framework open source oggetto di sfruttamento da parte degli autori delle minacce. Empire è un altro framework C2 che sta guadagnando popolarità grazie all’ampia gamma di funzionalità che è in grado di offrire e di sfruttare per sferrare attacchi. All of this to say – open-source C2 frameworks likely aren’t going anywhere when it comes to cybercrime.”
2. Il malware Emotet torna alla ribalta con nuove tecniche di elusione
Un articolo pubblicato sul blog (si apre in una nuova scheda) dal team di Ricerca e Analisi di BlackBerry approfondisce l’ultima ondata di e-mail Emotet, che utilizzano un nuovo metodo per indurre gli utenti ad abilitare le macro al fine di scaricare il dropper.
Tra le ultime novità nell’arsenale di Emotet figurano un veicolo di diffusione di tipo “ SMB ” () volto a facilitare il movimento laterale e un programma per il furto dei dati delle carte di credito che prende di mira i browser Chrome.
Informazioni sul malware Emotet
Emotet è un trojan che si diffonde principalmente tramite e-mail di spam. Inizialmente si trattava di un trojan bancario, ma oggi viene considerato principalmente come un’infrastruttura come servizio (IaaS) e utilizzato come dropper per la diffusione di malware quali TrickBot, il ransomware Ryuk e Qbot.
L'FBI ha collaborato con le forze dell'ordine straniere e con partner del settore privato in un'operazione coordinata volta a smantellare Emotet all'inizio del 2021. Per smantellare l’infrastruttura di Emotet, le forze dell’ordine ne hanno assunto il controllo e l’hanno smantellata dall’interno. Tuttavia, la distruzione dell'infrastruttura di Emotet non è stata sufficiente a fermare il malware. Emotet è tornato sulla scena delle minacce informatiche e ha iniziato a occupare i primi posti nella classifica di Proofpoint relativa agli attori più attivi, distribuendo migliaia di e-mail al giorno.
Il crescente arsenale di Emotet
Emotet si è evoluto sin dalla sua nascita. Ora è in grado di ospitare una serie di moduli, ciascuno dei quali viene utilizzato per diversi aspetti del furto di informazioni che vengono segnalati ai C2 server.
È stato inoltre osservato che Emotet inserisce moduli personalizzati insieme a strumenti freeware facilmente reperibili, modificandoli nel corso degli anni. Ad esempio, un modulo aggiunto di recente prende di mira il browser Google Chrome per sottrarre i dati delle carte di credito memorizzati. Un altro modulo aggiunto di recente è un modulo di diffusione dei messaggi SMB (SMB), che consente il movimento laterale.
Per caricare alcuni moduli già utilizzati in precedenza, Emotet ricorre anche a una tecnica di iniezione nota come Heaven’s Gate. Si tratta di un metodo ben noto utilizzato dal malware per aggirare la protezione “ Windows” sui hook API Windows64 (WoW64), consentendo a processi dannosi a 32 bit di inserirsi all’interno di processi a 64 bit. Attraverso Heaven’s Gate, i loader di Emotet utilizzano la tecnica dell’“hollowing” dei processi per sospendere un processo legittimo e, successivamente, rimappare la sua immagine con codice dannoso. Questo codice dannoso viene quindi eseguito dal processo ormai svuotato per caricare i moduli.
La componente di ingegneria sociale di Emotet
L’estate scorsa, Microsoft ha deciso di disattivare le macro per impostazione predefinita, richiedendo all’utente di attivarle ogni volta. L'ultima ondata di e-mail di spam Emotet include file .xls allegati che inducono gli utenti ad abilitare tali macro per consentire il download del dropper.
- Quando un utente scarica un file .xls dall'e-mail, il vettore di infezione dipende interamente dall'abilitazione delle macro da parte dell'utente, affinché il dropper di Emotet possa essere installato. A tal fine, Emotet ricorre all’ingegneria sociale per convincere gli utenti a compromettere, in sostanza, il proprio computer.
- In questa nuova campagna, agli utenti viene richiesto di spostare il file appena scaricato nella cartella “Modelli” di Excel. Poiché questa cartella è automaticamente considerata attendibile da Microsoft, qualsiasi file eseguito da questa posizione viene ignorato dalla funzionalità "Visualizzazione protetta", il che consente alle macro di funzionare senza problemi.
- Quando le macro vengono eseguite, si connettono a Internet per scaricare ed eseguire il malware Emotet. Il dropper di Emotet viene scaricato in una cartella generata in modo casuale sotto forma di file .dll e gli viene assegnato un nome generato in modo casuale. Emotet continuerà quindi a funzionare in background, collegandosi al server C2 per scaricare ulteriore malware.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Ogni volta che Emotet torna a far parlare di sé nei notiziari, sembra ancora più sofisticato rispetto all’ultima volta. Questa specifica campagna costituisce un esempio lampante di come gli autori delle minacce siano in grado di adattare la propria strategia in risposta ai tentativi di ostacolarli. In questo caso, Microsoft ha deciso di bloccare le macro per impostazione predefinita, ed Emotet ha affermato: «Va bene, ci limiteremo ad avviarci da una cartella che ignora questa “Visualizzazione protetta”».
"La risposta di Emotet alla decisione di Microsoft si basa esclusivamente sul social engineering per convincere l’utente a copiare il file dannoso in una posizione che consenta l’esecuzione delle macro senza ostacoli. “L’ingegneria sociale funziona ancora, ed Emotet ne è un’ulteriore dimostrazione.”
3. Gli hacker cinesi sfruttano una vulnerabilità di Fortinet e utilizzano una vulnerabilità 0-day per diffondere malware
Secondo Mandiant, un attore malintenzionato, presumibilmente legato alla Cina, è riuscito a sfruttare una vulnerabilità recentemente corretta in Fortinet FortiOS SSL-VPN (si apre in una nuova scheda), utilizzando il bug come vulnerabilità zero-day in attacchi rivolti a un ente governativo europeo e a un MSP in Africa.
Che cos’è il CVE-2022-42475?
Il 12 dicembre 2022, Fortinet ha pubblicato un avviso PSIRT e ha informato i clienti a rischio di subire le conseguenze della vulnerabilità “ CVE-2022-42475” (si apre in una nuova scheda) e del suo sfruttamento da parte di attori malintenzionati sostenuti dallo Stato.
La vulnerabilità CVE-2022-42475 è descritta come una vulnerabilità di overflow del buffer basata sull'heap nel sistema VPN " SSL" di FortiOS. Tale vulnerabilità potrebbe consentire a un aggressore remoto non autorizzato di eseguire codice o comandi arbitrari utilizzando richieste appositamente manipolate.
Fortinet cita almeno un caso in cui la vulnerabilità è stata sfruttata in ambiente reale. Il PSIRT raccomanda vivamente agli utenti della VPN SSLdi FortiOS di effettuare immediatamente dei controlli di vulnerabilità, eseguendo una scansione dei propri sistemi e verificandoli rispetto all’elenco completo degli indicatori di compromissione (IOC) fornito dal PSIRT.
Gli IOC comprendono la presenza di specifiche voci di log, nonché la presenza di più artefatti all’interno dei file system dei dispositivi interessati e connessioni in uscita verso uno qualsiasi degli indirizzi IP sospetti forniti da Fortiguard.
Lo sfruttamento
Lo sfruttamento della vulnerabilità CVE-2022-42475 da parte di un attore malintenzionato, sospettato di avere legami con la Cina, è avvenuto già nel mese di ottobre 2022, almeno quasi due mesi prima che venissero rilasciate le correzioni.
Mandiant non sostiene di aver osservato direttamente lo sfruttamento della vulnerabilità CVE-2022-42475, ma alcuni campioni della variante “ Linux ” di BOLDMOVE contenevano un indirizzo IP C2 hardcoded che è stato segnalato da Fortinet come coinvolto nello sfruttamento della vulnerabilità. Mandiant ritiene che ciò sia indicativo dello sfruttamento della vulnerabilità CVE-2022-42475 allo scopo di diffondere il malware backdoor BOLDMOVE.
Il malware che è stato infine diffuso a seguito di tale attività — identificato come BOLDMOVE da Mandiant — è descritto dalla società di intelligence come una nuova variante, che comprende sia la versione Windows che quella Linux , progettata specificatamente per essere eseguita sui firewall FortiGate. Mandiant La backdoor BOLDMOVE è stata individuata per la prima volta nel dicembre del 2022.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questa operazione serve a ricordare ai responsabili della sicurezza le vulnerabilità e le lacune in termini di visibilità con cui le organizzazioni devono costantemente confrontarsi quando sono incaricate di gestire reti e servizi da remoto. A causa dei limiti imposti dalle configurazioni dei dispositivi necessari a tal fine, risulta inoltre difficile valutare la portata e l’estensione delle attività dannose derivanti dallo sfruttamento delle apparecchiature di rete esposte al pubblico."
"La difficoltà insita nel tentativo di Detect are i processi dannosi o di condurre ricerche proattive sui dispositivi gestiti ha sostanzialmente l’effetto di creare punti ciechi sul perimetro delle reti prese di mira."
Rimanga aggiornato sulle ultime notizie relative alle informazioni sulle minacce informatiche consultando la nostra raccolta di rapporti di sintesi.
