Questa settimana, CTI esplora il motivo per cui il framework di comando e controllo di Sliver (C2) sta guadagnando terreno tra gli attori delle minacce come alternativa open source a strumenti come Cobalt Strike e Metasploit. Successivamente, approfondiamo l'ultima evoluzione di Emotet. È inclusa anche una panoramica di un’operazione in cui un sospetto attore di minacce China-nexus ha sfruttato una vulnerabilità recentemente patchata in Fortinet FortiOS SSL-VPN, sfruttando il bug come zero-day negli attacchi rivolti a un’entità governativa europea e a un provider di servizi gestiti (MSP) situato in Africa.
1. Gli attori delle minacce si rivolgono a Sliver come alternativa open source ai popolari framework C2
Sliver è uno strumento che i professionisti della sicurezza utilizzano nelle operazioni del team rosso per controllare da remoto le macchine compromesse durante le valutazioni di sicurezza. È un framework post-sfruttamento basato su Golang e cross-platform paragonabile a Cobalt Strike e Metasploit.
Secondo un nuovo report di Cybereason (si apre in una nuova scheda), Sliver sta diventando sempre più popolare tra i criminali informatici, in gran parte perché è open source, modulare e multipiattaforma (OS X, Linux e Windows), il che lo rende flessibile e conveniente. Il framework supporta molte delle funzionalità principali necessarie per la simulazione avversaria, come la generazione dinamica di codice, l'offuscamento del tempo di compilazione, la modalità multiplayer e altro ancora.
L'ecosistema Sliver C2 è costituito da quattro componenti principali. Ha una console server che funge da interfaccia principale, un server C2 , una console client e un impianto che funge da codice dannoso che viene eseguito su un sistema di destinazione.
Attori di minacce che attualmente utilizzano Sliver C2
APT29/Orso accogliente
APT29, associato alla Russia, è stato osservato da più organizzazioni diverse che utilizzano Sliver C2 per garantire la persistenza su una rete compromessa. Un rapporto del National Cyber Security Centre (si apre in una nuova scheda) (NCSC) rileva che l’uso di Sliver era probabilmente un tentativo di mantenere l’accesso a un certo numero di vittime.
TA551
Proofpoint ha identificato le e-mail (si apre in una nuova scheda) con allegati di Microsoft Office che contenevano macro che hanno portato alla distribuzione del framework Sliver C2 . In questo caso, Sliver è stato caricato dopo il vettore di infezione iniziale, a differenza di TA551 casi precedentemente osservati.
Giglio esotico
Cybereason ha precedentemente segnalato (si apre in una nuova scheda) le infezioni del caricatore BumbleBee che hanno portato all’implementazione di un framework C2 . Viene osservata la distribuzione di un'infezione del caricatore BumbleBee che alla fine ha portato al dispiegamento di Sliver C2.
Commenti degli analisti da parte del Cyber Threat Intelligence Team di Tanium
“Sliver è stato armato dagli attori delle minacce sin dalla sua uscita nel 2020 e sta ancora guadagnando popolarità nella Community criminale informatica”.
"Mentre Sliver è un framework impressionante (quindi perché gli attori delle minacce lo stanno attivamente utilizzando), non è l'unico framework open source sfruttato dagli attori delle minacce. Empire è un altro framework C2 che sta guadagnando popolarità a causa della vasta gamma di capacità che può fornire e attaccare. Tutto questo a dire: i framework open source C2 probabilmente non andranno da nessuna parte quando si tratta di crimine informatico.
2. Il malware Emotet torna con nuove tecniche di evasione
Un blog (si apre in una nuova scheda) del team di ricerca e intelligence di BlackBerry si tuffa nella nuova ondata di e-mail Emotet che coinvolgono un nuovo metodo per ingannare gli utenti a consentire macro per scaricare il dropper.
Le ultime aggiunte all’arsenale di Emotet includono un divaricatore SMB per facilitare il movimento laterale e un furtivo di carte di credito che si rivolge ai browser Chrome .
Informazioni sul malware Emotet
Emotet è un trojan che si diffonde principalmente tramite e-mail di spam. È iniziato come un trojan bancario, ma ora è per lo più visto come un'infrastruttura come servizio e utilizzato come dropper per la consegna di cose come TrickBot, Ryuk ransomware e Qbot.
L'FBI ha lavorato con le forze dell'ordine straniere e partner del settore privato in uno sforzo coordinato per abbattere Emotet all'inizio del 2021. Per interrompere l’infrastruttura di Emotet, le forze dell’ordine hanno preso il controllo dell’infrastruttura e l’hanno abbattuta dall’interno. Tuttavia, l’interruzione dell’infrastruttura di Emotet non è stata sufficiente per fermare il malware. Emotet è tornato al panorama delle minacce e ha iniziato a essere in cima alla lista di Proofpoint di attori ad alto volume, distribuendo migliaia di e-mail al giorno.
La crescente cassetta degli attrezzi di Emotet
Emotet si è evoluto sin dalla sua nascita. Ora può ospitare una serie di moduli, ognuno dei quali viene utilizzato per diversi aspetti di furto di informazioni che riportano ai server C2 .
Emotet è stato anche osservato iniettare moduli personalizzati insieme a strumenti freeware prontamente disponibili e modificarli nel corso degli anni. Ad esempio, un modulo aggiunto di recente si rivolge al browser Google Chrome per rubare le informazioni memorizzate della carta di credito. Un altro modulo aggiunto di recente è un modulo spargitore di blocchi di messaggi server (SMB), che consente il movimento laterale.
Per caricare alcuni moduli precedentemente utilizzati, Emotet utilizza anche una tecnica di iniezione nota come Heaven’s Gate. Questo è un metodo famigerato utilizzato dal malware per bypassare Windows su Windows64 (WoW64) API hooks prendendo processi dannosi a 32 bit da iniettare in processi a 64 bit. Attraverso Heaven’s Gate, i caricatori Emotet utilizzano la tecnica di svuotamento del processo per sospendere un processo legittimo e quindi rimappare la sua immagine con codice dannoso. Questo codice dannoso viene quindi eseguito dal processo ora svuotato per caricare i moduli.
La componente di ingegneria sociale di Emotet
La scorsa estate, Microsoft ha deciso di disabilitare le macro per impostazione predefinita, richiedendo all'utente di abilitare le macro ogni volta. La nuova ondata di e-mail di spam Emotet include file .xls allegati che ingannano gli utenti a consentire queste macro per scaricare il dropper.
- Quando un utente scarica un file .xls dall'e-mail, il vettore di infezione dipende interamente dall'utente che abilita le macro in modo che il contagocce Emotet possa essere installato. Per fare ciò, Emotet si affida all’ingegneria sociale per convincere gli utenti a compromettere fondamentalmente la propria macchina.
- In questa nuova campagna, agli utenti viene richiesto di spostare il file appena scaricato nella cartella Modelli di Excel. Poiché questa cartella è automaticamente attendibile da Microsoft, qualsiasi file eseguito da questa posizione viene ignorato dalla funzionalità Vista protetta, che consente l'esecuzione delle macro senza problemi.
- Quando le macro vengono eseguite, raggiungono Internet per scaricare ed eseguire malware Emotet. Il contagocce Emotet viene scaricato in una cartella generata casualmente come file .dll e viene dato un nome generato casualmente. Emotet verrà quindi eseguito in background, raggiungendo il server C2 per scaricare malware aggiuntivo.
Commenti degli analisti da parte del Cyber Threat Intelligence Team di Tanium
“Ogni volta che Emotet riemerge nelle notizie, sembra ancora più sofisticato dell’ultimo. Questa particolare campagna è un ottimo esempio di come gli attori delle minacce si sposteranno in risposta ai tentativi di ostacolarli. In questo caso, Microsoft ha deciso di bloccare le macro per impostazione predefinita, ed Emotet ha detto: "Va bene, ci lanceremo da una cartella che ignora questa vista protetta".
La risposta di Emotet alla decisione di Microsoft si basa esclusivamente sull’ingegneria sociale per convincere un utente a copiare il file dannoso in una posizione che consentirà alle macro di funzionare senza ostacoli. L’ingegneria sociale funziona ancora, ed Emotet ne è un’ulteriore prova”.
3. Gli hacker cinesi sfruttano la falla di Fortinet, usano 0-Day per eliminare il malware
Secondo Mandiant, un sospetto aggressore cinese ha sfruttato con successo una vulnerabilità recentemente risolta in Fortinet FortiOS SSL-VPN (si apre in una nuova scheda) e ha sfruttato il bug come zero-day negli attacchi mirati a un ente governativo europeo e a un MSP in Africa.
Che cos'è CVE-2022-42475?
Il 12 dicembre 2022, Fortinet ha pubblicato un avviso PSIRT e ha informato i clienti a rischio di essere colpiti da CVE-2022-42475 (si apre in una nuova scheda) e dal suo sfruttamento per mano di autori di minacce sponsorizzati dallo stato.
CVE-2022-42475 è descritto come una vulnerabilità di overflow del buffer basato su heap in FortiOS SSL-VPN. Può potenzialmente consentire a un utente malintenzionato remoto e non autorizzato di eseguire codice o comandi arbitrari utilizzando richieste appositamente predisposte.
Fortinet cita almeno un’istanza in cui la vulnerabilità è stata sfruttata in natura. Il PSIRT raccomanda vivamente che gli utenti FortiOS SSL-VPN eseguano immediatamente i controlli dell’esposizione spazzando i loro sistemi e verificandoli rispetto all’elenco significativo di indicatori di compromissione (IOC) fornito dal PSIRT.
I CIO includono la presenza di voci di registro specifiche, nonché la presenza di più artefatti all’interno dei filesystem dei dispositivi interessati e connessioni in uscita a uno qualsiasi degli indirizzi IP sospetti forniti da Fortiguard.
Lo sfruttamento
Lo sfruttamento di CVE-2022-42475 da parte di un presunto attore della minaccia Cina-Nexus si è verificato già nel ottobre 2022, almeno quasi due mesi prima che le correzioni venissero rilasciate.
Mandiant Non afferma di aver osservato direttamente lo sfruttamento di CVE-2022-42475, ma alcuni esempi della variante Linux di BOLDMOVE contenevano un indirizzo IP C2 codificato che è stato elencato da Fortinet come coinvolto nello sfruttamento del difetto di sicurezza. Mandiant Ciò è indicativo dello sfruttamento di CVE-2022-42475 allo scopo di fornire malware backdoor BOLDMOVE.
Il malware che è stato infine consegnato come risultato di questa attività, tracciato come BOLDMOVE da Mandiant , è descritto dalla società di Intel come un nuovo ceppo con una variante Windows e Linux , che è specificamente progettato per l’esecuzione su firewall FortiGate. Mandiant La prima volta che scoprì la backdoor di BOLDMOVE fu nel dicembre del 2022.
Commenti degli analisti da parte del Cyber Threat Intelligence Team di Tanium
Questa operazione serve a ricordare ai difensori delle vulnerabilità e delle lacune nella visibilità che le organizzazioni stanno costantemente combattendo quando sono responsabili della gestione delle reti e dei servizi da remoto. A causa delle limitazioni imposte dalle configurazioni dei dispositivi necessari per farlo, è anche difficile misurare la portata e l'entità delle attività dannose derivanti dallo sfruttamento di apparecchiature di rete rivolte al pubblico.
“La difficoltà intrinseca nel tentativo di Detect processi dannosi o eseguire battute di caccia proattive su dispositivi gestiti ha sostanzialmente l’effetto di creare punti ciechi sul perimetro delle reti mirate”.
Rimani aggiornato sulle ultime notizie di intelligence sulle minacce informatiche consultando la nostra libreria di rapporti di riepilogo.
