Nella rassegna di questa settimana, CTI esamina un attore malintenzionato noto come ToddyCat, il quale è stato osservato mentre sfruttava connessioni simultanee agli ambienti delle vittime per mantenere la persistenza e sottrarre dati su scala industriale. Successivamente, CTI indaga su un attore malintenzionato nordcoreano con possibili legami con Kimsuky. Infine, CTI spiega come il gruppo russo “ APT28 ” stia sfruttando una vecchia vulnerabilità dello spooler di stampa di Windows per distribuire uno strumento di hacking finora sconosciuto denominato GooseEgg.
1. ToddyCat impiega strumenti avanzati per il furto di dati su scala industriale
È stato recentemente osservato che un attore malintenzionato noto come ToddyCat sfruttava connessioni simultanee agli ambienti delle vittime per mantenere la persistenza e sottrarre dati.
La campagna si avvale di diversi strumenti, molti dei quali rappresentano una novità per l’attore ToddyCat dell’. I ricercatori hanno analizzato in dettaglio l'elenco degli strumenti utilizzati dall'autore dell'attacco in questa ultima campagna.
Gli strumenti di tunneling del traffico di ToddyCat
ToddyCat disponeva di più tunnel verso l’infrastruttura compromessa, ciascuno implementato tramite strumenti diversi per garantire la persistenza nell’ambiente anche nel caso in cui un tunnel venisse disattivato. Questo accesso costante all’infrastruttura ha consentito all’autore dell’attacco di effettuare attività di ricognizione aggressive.
- Tunnel SSH inverso: È stato rilevato che ToddyCat utilizzava un tunnel SSH inverso per accedere a servizi remoti.
- SoftEther VPN: Anche ToddyCat ha utilizzato l’utilità server inclusa nel pacchetto SoftEther VPN per la creazione del tunnel. Nella maggior parte dei casi, l’autore ha rinominato il file eseguibile del server VPN dotato di firma digitale per nasconderne la funzione all’interno del sistema.
- Ngrok Agent e Krong: In alcuni casi, l’autore dell’attacco ha creato un tunnel verso un provider cloud legittimo per accedere all’infrastruttura remota. Secondo Kaspersky, Ngrok è «un agente leggero in grado di reindirizzare il traffico dagli endpoint all’infrastruttura cloud e viceversa». Ngrok è stato installato su diversi host ed è stato utilizzato per reindirizzare il traffico C2 dall'infrastruttura cloud verso una porta specifica su tali host. La porta specificata era la stessa su cui era in ascolto un altro strumento denominato Krong. Krong è un file DLL caricato lateralmente, dotato di firma digitale da parte di AVG TuneUp.
- Client FRP: Dopo aver stabilito diversi tunnel tramite i metodi sopra indicati, l’autore dell’attacco ha installato il client FRP. Questo client è un "reverse proxy " che consente l'accesso da Internet a un server locale situato dietro un NAT o un firewall.
Strumenti per la raccolta dei dati
È stato inoltre osservato che ToddyCat utilizza vari strumenti di raccolta dati, ciascuno dei quali è destinato a uno scopo diverso.
- Cuthead: Un nuovo strumento utilizzato per la ricerca di documenti. Il suo nome è stato determinato sulla base del campo "Descrizione file" del campione identificato da SecureList. Lo strumento è compilato in .NET e provvederà a cercare i file, salvandoli all’interno di un archivio. Lo strumento consente di effettuare ricerche in base a estensioni di file specifiche o a parole specifiche.
- WAExp: “ ” è un programma che sottrae dati da WhatsApp. È scritto in .NET e ha lo scopo di sottrarre dati dalla versione web di WhatsApp. La versione web memorizza i dati relativi a un utente, tra cui i dettagli del profilo, i dati delle chat, i numeri di telefono delle persone con cui si è chattato e i dati relativi alla sessione corrente.
- TomBerBil: L’autore dell’attacco è stato inoltre sorpreso a utilizzare uno strumento denominato TomBerBil per sottrarre le password dai browser.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È evidente che ToddyCat abbia dedicato molto tempo a riflettere sul modo migliore per garantire la continuità operativa all’interno di un ambiente, giungendo alla conclusione di utilizzare diversi tunnel nel caso in cui uno venisse scoperto e interrotto.
Tale approccio, unitamente all’utilizzo di diversi strumenti di raccolta dati, comporta una maggiore manutenzione e costi generali. Tuttavia, può rivelarsi piuttosto efficace, soprattutto se si integrano strumenti nuovi o personalizzati.
2. Gli hacker utilizzano gli aggiornamenti di eScan per diffondere il malware GuptiMiner
È stato rilevato che un attore malintenzionato nordcoreano , con possibili legami con il gruppo APT Kimsuky , stava sfruttando il meccanismo di aggiornamento dell’antivirus eScan.
L’autore dell’attacco ha assunto una posizione di tipo “ ” (AitM, ) per dirottare e sostituire il pacchetto di aggiornamento legittimo di eScan. L'attacco mira a installare backdoor e a diffondere programmi di mining di criptovalute tramite il malware GuptiMiner.
La catena di contagio
Questa catena di infezione ha inizio quando eScan richiede un aggiornamento dal server di aggiornamento. In tal modo, un malintenzionato che agisce come intermediario intercetta e scarica il pacchetto di aggiornamento, sostituendolo con uno dannoso. A quel punto eScan decomprimerà e caricherà questo pacchetto, mentre verrà caricata lateralmente una DLL che attiverà il resto della catena.
- Stage 0 – procedura di installazione: Gli autori di questa campagna hanno messo in atto un attacco “man-in-the-middle” per scaricare sul dispositivo della vittima un programma di installazione infetto anziché il legittimo aggiornamento di eScan. Al momento, sono disponibili poche informazioni su come l’autore dell’attacco abbia eseguito la fase MitM dell’attacco.
- Fase 0,9 – Miglioramenti all’installazione: Il processo di installazione è stato perfezionato nel corso del tempo ed è ora notevolmente diverso rispetto a quello originale. Attualmente, l’autore dell’attacco sta utilizzando attività pianificate, eventi WMI, diverse fasi successive, disabilitando Windows Defender e installando certificati su Windows.
- Fase 1 – Caricatore PNG: Un file PE eseguito nella fase 0 fungerà da dropper in questa fase e nelle fasi successive, collegandosi al server dannoso DNS dell’autore della minaccia. La risposta ottenuta contiene un URL crittografato URL del vero server C2 , dal quale il malware richiederà un ulteriore payload sotto forma di immagine PNG. Questo payload in formato PNG contiene uno shellcode che fornirà funzionalità aggiuntive in un secondo momento.
- Fase 2 – Caricatore Gzip: Si tratta della fase più breve, durante la quale il caricatore Gzip decomprimerà un altro shellcode tramite Gzip, eseguendolo in un thread separato. Questo thread caricherà la fase 3. Nel corso delle varie operazioni condotte da GuptiMiner, il caricatore Gzip non ha subito alcuna modifica.
- Fase 3 – Puppeteer: Questa fase ha il compito di coordinare le funzionalità chiave del malware, tra cui il mining di criptovalute e l’installazione di backdoor. Puppeteer monitorerà il sistema alla ricerca di processi in esecuzione ogni 5 secondi, terminando strumenti quali taskmgr, Autoruns, Wireshark, Wireshark-gtp e TCPView. Il malware verificherà la presenza di una chiave di registro del server DNS per determinare se il computer è un server Windows . A quel punto rileverà il numero di computer collegati al dominio e tenterà di scaricare un file PNG aggiuntivo contenente il payload.
- Stage 4 – backdoor: GuptiMiner utilizza due tipi di backdoor. La prima si basa su una versione personalizzata di PuTTY e presenta miglioramenti per la scansione delle reti locali SMB , al fine di consentire il movimento laterale. La seconda backdoor è una backdoor modulare che, in primo luogo, verifica la presenza di chiavi private o portafogli crittografici memorizzati localmente e, successivamente, inietta una backdoor modulare sotto forma di shellcode.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo attore malintenzionato dimostra un elevato livello di sofisticazione, avvalendosi di una serie di fasi, funzioni e strumenti fino alla distribuzione finale del payload.
L'attacco si conclude inoltre con la distribuzione di XMRig, il quale, come sottolinea Avast, «risulta un po’ inaspettato per un’operazione così ben pianificata», dato che è facilmente individuabile.
Le analogie a livello di infrastrutture e procedure operative (TTP) con il famigerato attore Kimsuky aumentano certamente il livello di questa minaccia.
3. APT28 sfrutta una vulnerabilità dello spooler di stampa di Windows
Microsoft avverte che Russian APT28 sta sfruttando una vecchia vulnerabilità dello spooler di stampa Windows per distribuire uno strumento di hacking finora sconosciuto denominato GooseEgg.
Si ritiene che APT28 utilizzi GooseEgg almeno dalla metà del 2020 e, più recentemente, per sfruttare CVE-2022-38028. Il malware viene utilizzato per avviare applicazioni specifiche dalla riga di comando con privilegi elevati, consentendo all’autore dell’attacco di svolgere varie attività successive alla compromissione del sistema.
APT28: Un ripasso
APT28 — noto anche come Forest Blizzard secondo l’ Microsoft — ricorre spesso, nei propri attacchi, a vulnerabilità di dominio pubblico.
L’APT è stata collegata alla Direzione principale dei servizi segreti dello Stato Maggiore russo (GRU) e, in quanto tale, conduce attacchi finalizzati alla raccolta di informazioni strategiche. L'utilizzo del malware GooseEgg da parte dell'attore costituisce una nuova scoperta.
In che modo APT28 utilizza GooseEgg
- APT28 utilizza GooseEgg per ottenere privilegi di accesso elevati e sottrarre informazioni dal sistema preso di mira.
- Lo strumento viene utilizzato dopo aver ottenuto l'accesso iniziale al dispositivo.
- È stato osservato che GooseEgg viene distribuito tramite uno script batch denominato execute.bat oppure doit.bat.
- Lo script creerà un file contenente i comandi necessari per esportare e comprimere gli hive del Registro di sistema. Questo file avvierà l'eseguibile GooseEgg e garantirà la persistenza tramite un'attività pianificata.
Uno sguardo più approfondito al file binario di GooseEgg
Il file binario GooseEgg ha assunto diversi nomi nel corso di vari attacchi, tra cui justice.exe e DefragmentSrv.exe.
Il file binario può accettare uno dei quattro comandi, ciascuno dei quali segue un percorso di esecuzione diverso.
- Il primo comando genererà un codice di ritorno personalizzato e terminerà l'esecuzione.
- I due comandi seguenti attiveranno l'exploit e avvieranno una DLL o un file eseguibile con privilegi elevati.
- Il comando finale verificherà l'eseguibilità dell'exploit, confermandone il successo tramite il comando whoami.
Secondo Microsoft, il nome del file DLL dannoso incorporato include spesso la frase “wayzgoose”. La DLL viene installata in una delle numerose sottodirectory di installazione presenti in C:\ProgramData, tra cui Microsoft, Adobe, Comms, Intel, Kaspersky Lab, Bitdefender, ESET, NVIDIA, UbiSoft e Steam.
Viene inoltre creata una sottodirectory con un nome generato in modo casuale, che fungerà da directory di installazione. Un esempio di tale directory creata è: “C[:]\ProgramData\Adobe\v2,116,4405.” Vengono quindi create delle chiavi di registro per registrare un nuovo CLSID.
L'exploit sostituirà il collegamento all'unità C: nel gestore degli oggetti in modo che punti alla directory creata in precedenza. Pertanto, quando PrintSpooler tenta di caricare determinati componenti, viene reindirizzato alla directory creata.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'applicazione tempestiva delle patch rappresenta la migliore difesa contro il APT28. È noto che l’attore sfrutta le vulnerabilità in tempi piuttosto rapidi dopo che sono state rese pubbliche.
Negli ultimi mesi, l’autore è stato osservato mentre sfruttava una vulnerabilità presente in Outlook di Microsoft (CVE-2023-23397) e una vulnerabilità in WinRAR (CVE-2023-38831), solo per citare alcuni esempi. La capacità del gruppo di integrare exploit di dominio pubblico nei propri attacchi è sicuramente uno dei motivi per cui è riuscito a rimanere attivo per oltre un decennio.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
