In this week’s roundup, Tanium’s Cyber Threat Intelligence (CTI) team looks at some of the top cybersecurity developments from 2023 that continue to pose threats in the new year.
Per cominciare, CTI tratta l’argomento “Chae$ 4 ”, ovvero l’ultima variante del malware Chaes di (si apre in una nuova scheda). Successivamente, CTI indaga sul nuovo gruppo “ 03 ”, che ora sta prendendo di mira aziende internazionali. CTI fornisce inoltre aggiornamenti sul malware DarkGate e sul gruppo APT nordcoreano Andariel.
1. Il Chae$ 4 rappresenta una minaccia per i settori finanziario e logistico
Le aziende del settore finanziario e logistico sono ora esposte al rischio rappresentato da Chae$ 4, una nuova variante del malware Chaes che utilizza un protocollo personalizzato Chrome DevTools per accedere alle funzioni del browser e sottrarre dati. Ad oggi, Chae$ 4 ha preso di mira (si apre in una nuova scheda) i clienti di banche e piattaforme quali Mercado Libre, WhatsApp Web, Mercado Pago, Itau Bank, MetaMask e Caixa Bank. Ha inoltre preso di mira servizi di gestione dei contenuti quali WordPress, Magento, Drupal e Joomla.
Chae$ 4 presenta diversi miglioramenti rispetto alla versione originale del malware Chaes, tra cui un’architettura del codice perfezionata, una maggiore modularità, un livello aggiuntivo di crittografia e funzionalità di occultamento. La variante è stata inoltre implementata in Python e utilizza i WebSocket per facilitare la comunicazione tra il server C2 e i suoi moduli.
Come funziona Chae$ 4 ?
Secondo Morphisec, un’infezione da Chae$ 4 (si apre in una nuova scheda) ha inizio con l’esecuzione di un programma di installazione dannoso MSI che si maschera da programma di installazione di JAVA JDE o di un antivirus. L'attivazione del programma di installazione dannoso consente al malware di installarsi e scaricare i propri file in una cartella dedicata e predefinita all'interno di %Appdata%/. All’interno della cartella sono presenti librerie Python, file eseguibili e script Python. Il malware decomprime inoltre un modulo principale denominato ChaesCore. Dopo l’inizializzazione, ChaesCore continua a comunicare con l’indirizzo C2 per accedere ai moduli esterni e caricarli nel proprio sistema di destinazione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il malware Chaes è in circolazione almeno dal novembre 2020. Questa ultima variante presenta numerosi miglioramenti, oltre a ingannevoli programmi di installazione di tipo “ MSI ” che consentono al malware di eseguire infezioni in più fasi.
La variante Chae$ 4 , basata su Python, rappresenta una minaccia significativa per le aziende del settore logistico e bancario, data la sua capacità di aggirare i tradizionali meccanismi di difesa. Le imprese operanti in questi settori dovrebbero mantenere un elevato livello di allerta.
2. Il ransomware “ 03 ” continua a diffondersi
Già nel mese di settembre, CTI aveva segnalato una nuova famiglia di malware denominata “ ” ( 03 (si apre in una nuova scheda) ), costituita da un eseguibile Rust a 64 bit in grado di compromettere i servizi, crittografare i file ed eliminare le copie shadow dei volumi. Gli autori delle minacce responsabili di 03 sembrano utilizzare il nuovo ransomware in modo selettivo; ciò spiega perché siano stati rilevati solo pochi attacchi.
Due recenti esempi di attacchi ransomware di tipo “ 03 ” riguardano la Woodruff Enterprises () e la Share & Harris LLC (). Gli attacchi hanno comportato la crittografia e la clonazione di importanti dati interni. Dopo aver messo al sicuro i dati, il gruppo “ 03 ” ha chiesto il pagamento di un riscatto e ha minacciato di divulgare le informazioni al pubblico. Il gruppo “ 03 ” ha preso di mira anche DS Granit, un’azienda con sede in Francia che fornisce e installa superfici in granito, quarzo e ceramica.
Chi è il gruppo di autori del ransomware “ 03 ”?
Symantec ha individuato il ransomware " 03 " (si apre in una nuova scheda) nel 2023 , a seguito di un incidente in cui un affiliato ha distribuito il ransomware dopo un tentativo fallito di distribuire LockBit. Il nome “ 03 ” deriva dai riferimenti presenti nella richiesta di riscatto del gruppo e dal fatto che l’attacco aggiunge l’estensione “.threeamtime” ai file crittografati.
Al momento, i dati disponibili su 03 e sui suoi gestori sono ancora limitati. 03 sembra costituire un piano di riserva in caso di fallimento degli attacchi LockBit. Tuttavia, sono necessarie ulteriori ricerche per giungere a una conclusione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il rapporto iniziale di CTI sul ransomware “ 03 ” aveva previsto che, molto probabilmente, si sarebbero verificati ulteriori attacchi di tipo “03 ” nel prossimo futuro. A distanza di alcuni mesi, come era prevedibile, stanno cominciando a emergere ulteriori casi di malware “ 03 ”. CTI continuerà a seguire con attenzione l'evoluzione di questa tendenza relativa al ransomware nei mesi a venire.
3. BattleRoyal implementa DarkGate e NetSupport
I ricercatori di Proofpoint stanno monitorando un nuovo operatore del malware DarkGate, denominato BattleRoyal, (si apre in una nuova scheda) . Secondo Proofpoint, BattleRoyal ha diffuso il malware DarkGate in almeno 20 campagne e-mail tra settembre e il novembre 2023. Il gruppo ha inviato decine di migliaia di e-mail e ha preso di mira decine di settori in tutti gli Stati Uniti e in Canada.
Verso la fine di novembre, BattleRoyal ha adottato NetSupport (si apre in una nuova scheda), uno strumento di accesso remoto, per garantire la persistenza sugli endpoint. BattleRoyal sta ora ricorrendo a una combinazione di e-mail, siti web compromessi e falsi inviti all'aggiornamento per indurre le vittime a scaricare malware.
Come spiega Proofpoint, i motivi del passaggio da DarkGate a NetSupport rimangono poco chiari. Tuttavia, tale cambiamento potrebbe essere dovuto all’aumento della popolarità di DarkGate, che sta attirando una maggiore attenzione da parte dei ricercatori nel campo delle minacce informatiche e dei professionisti della sicurezza.
BattleRoyal sfrutta una vulnerabilità di SmartScreen
Proofpoint ha scoperto che BattleRoyal stava sfruttando in modo massiccio una vulnerabilità identificata con il codice CVE-2023-36025 per diffondere malware, prima che l’ Microsoft e risolvesse il problema a novembre.
La vulnerabilità è presente nella funzione SmartScreen di Windows , una funzionalità di sicurezza che impedisce agli utenti di visitare siti web dannosi. La vulnerabilità consente a un malintenzionato di aggirare le difese di SmartScreen convincendo un utente a fare clic su un file personalizzato .URL o su un collegamento ipertestuale che rimanda a un file .URL .
La campagna “DarkGate Teams” prende di mira le aziende
DarkGate è uno dei trojan di accesso remoto (RAT) più diffusi sul mercato, sempre più utilizzato dagli autori delle minacce per colpire le organizzazioni.
In un caso di grande risonanza, è stato osservato che alcuni autori di minacce hanno preso di mira, in modo indipendente, , Microsoft e Teams con il loader DarkGate (si apre in una nuova scheda). Gli autori dell'attacco hanno inviato messaggi di chat compromessi ad account esterni di Office 365 . Hanno inoltre utilizzato tecniche di ingegneria sociale per indurre le vittime a scaricare e aprire file dannosi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il punto fondamentale da sottolineare è che BattleRoyal si avvale sia di DarkGate che di NetSupport per individuare le vittime. BattleRoyal utilizza NetSupport per controllare gli host, installare malware e spostarsi lateralmente all’interno degli ambienti compromessi (si apre in una nuova scheda) e utilizza DarkGate per scaricare payload di malware e sottrarre informazioni.
I ricercatori nel campo della sicurezza prevedono che l’utilizzo di DarkGate e NetSupport subirà un’accelerazione nei prossimi mesi, rendendo questa minaccia un elemento da tenere sotto stretta osservazione. Inoltre, il recente passaggio da DarkGate a NetSupport indica che esiste la possibilità che questo attore passi a un altro payload in futuro.
4. Andariel ruba segreti militari sudcoreani
Secondo un nuovo rapporto, , il gruppo APT nordcoreano Andariel (si apre in una nuova scheda) avrebbe sottratto circa 1,2 terabyte di dati compromettendo la sicurezza informatica di decine di aziende sudcoreane operanti nel settore della difesa. Il gruppo APT Andariel ha inoltre trasferito alla Corea del Nord circa 360.000 dollari in Bitcoin a titolo di riscatto.
L’Agenzia per le politiche metropolitane di Seul sostiene che, tra il dicembre 2022 e il marzo 2023, Andariel abbia effettuato 83 accessi a società sudcoreane dalla zona di Ryugyong-dong a Pyongyang tramite servizi di hosting che affittano server a clienti non identificati. L’Ufficio investigativo per la sicurezza della Corea del Sud sta attualmente indagando sulla questione in collaborazione con l’FBI (Federal Bureau of Investigation) degli Stati Uniti.
Secondo il *Korea Times*, la Corea del Nord sta attualmente diversificando le proprie tattiche di criminalità informatica a causa del calo del valore delle criptovalute e degli aumenti dei tassi di interesse statunitensi. Anche la Corea del Nord fa affidamento sulle piattaforme di scambio russe per liquidare le proprie criptovalute.
Il gruppo Andariel: un formidabile APT
Andariel — un sottogruppo del Lazarus Group nordcoreano — sta diventando sempre più sofisticato e prende di mira una vasta gamma di settori, tra cui organizzazioni governative straniere, servizi finanziari e agenzie di difesa, solo per citarne alcuni.
Il gruppo utilizza una serie di strumenti per sferrare attacchi contro i propri obiettivi. Ad esempio, è stato recentemente osservato che Andariel utilizzava un trojan di accesso remoto di tipo “ ” (RAT) finora sconosciuto, denominato EarlyRAT (si apre in una nuova scheda). Nel 2022, Andariel ha impiegato EarlyRAT nel corso di una serie di attacchi informatici che hanno sfruttato la vulnerabilità di Log4j Log4Shell (si apre in una nuova scheda).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come spiega l’ Mandiant in un post (si apre in una nuova scheda), il regime nordcoreano è determinato a continuare a sviluppare il proprio programma offensivo e a ricorrere a intrusioni informatiche per condurre attività di spionaggio e reati finanziari. La capacità di questi gruppi di condurre operazioni di spionaggio informatico e, al contempo, campagne di criminalità informatica a scopo di lucro li rende una minaccia più complessa e sfaccettata.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
