Per iniziare la rassegna di questa settimana, CTI esamina il modo in cui gli autori delle minacce stanno utilizzando nuove varianti del malware Truebot per prendere di mira organizzazioni negli Stati Uniti e in Canada. Successivamente, CTI analizza una recente campagna che ha visto coinvolto il gruppo di hacker iraniano Charming Kitten, sostenuto dallo Stato. La campagna mette in evidenza l’arsenale aggiornato di malware dell’autore della minaccia e le sue nuove tattiche, tecniche e procedure (TTP) — in particolare il fatto che esso prenda di mira nuovi sistemi operativi, tra cui macOS. Infine, CTI conclude con una panoramica su un recente rapporto che mette in luce una campagna di phishing attualmente in corso denominata SmugX.
1. CISA: L’aumento dell’attività di Truebot sta infettando le reti con sede negli Stati Uniti e in Canada
L’Agenzia per la sicurezza informatica e delle infrastrutture (CISA), l’FBI (Federal Bureau of Investigation), il Centro multistatale per la condivisione e l’analisi delle informazioni (MS-ISAC) e il Centro canadese per la sicurezza informatica (CCCS) hanno emesso un avviso congiunto in materia di sicurezza informatica in risposta alle attività di soggetti malintenzionati che stanno diffondendo nuove varianti del malware TrueBot (si apre in una nuova scheda) ai danni di varie organizzazioni negli Stati Uniti e in Canada.
Che cos’è TrueBot?
TrueBot è un downloader di malware che è stato collegato a una banda di criminali informatici di lingua russa nota come Silence. È stato utilizzato dagli hacker appartenenti al gruppo di minaccia TA505 (si apre in una nuova scheda) (che era anche collegato al gruppo di criminali informatici FIN11 ) per distribuire il ransomware CL0P . (si apre in una nuova scheda)
Dal comunicato congiunto:
Truebot è una botnet che è stata utilizzata da gruppi informatici malintenzionati, come la CL0P Ransomware Gang, per raccogliere ed esfiltrare informazioni dalle vittime prese di mira... Le precedenti varianti del malware Truebot venivano diffuse principalmente da autori di minacce informatiche tramite allegati malevoli in e-mail di phishing ; tuttavia, le versioni più recenti consentono agli autori di minacce informatiche di ottenere l’accesso iniziale anche sfruttando CVE-2022-31199 (si apre in una nuova scheda) — (una vulnerabilità di esecuzione di codice remoto nell’applicazione Netwrix Auditor), consentendo la diffusione del malware su larga scala all’interno dell’ambiente compromesso.
Il gruppo CL0P è stato recentemente responsabile del massiccio attacco zero-day alla catena di fornitura di MOVEit (si apre in una nuova scheda), nonché dei successivi attacchi estorsivi che continuano a prendere di mira gli utenti a valle dell’applicazione e a causare gravi danni finanziari ancora oggi.
Sintesi delle attività
Secondo il comunicato congiunto, le organizzazioni autrici hanno osservato un aumento del numero di autori di minacce che utilizzano nuove versioni di Truebot, anche di recente, come si evince da 31 May 2023.
Sulla base di informazioni confermate provenienti da fonti aperte e dell’analisi delle recenti varianti di TrueBot, gli autori del rapporto ritengono che gli autori delle minacce stiano ora diffondendo nuove varianti del malware tramite campagne di phishing che prevedono l’utilizzo di collegamenti ipertestuali dannosi per il reindirizzamento e lo sfruttamento della vulnerabilità CVE-2022-3119.
Attività di phishing di TrueBot
L’avviso congiunto rileva che gli autori delle minacce hanno utilizzato principalmente e-mail di phishing come metodo preferito per la diffusione del malware TrueBot. Le e-mail cercano in genere di indurre i destinatari a cliccare su un collegamento ipertestuale per eseguire malware, ma i ricercatori hanno anche osservato che gli autori delle minacce nascondono file eseguibili negli allegati delle e-mail, camuffandoli da notifiche legittime di aggiornamento software.
Quando gli utenti interagiscono con il file eseguibile, questo li reindirizza verso domini dannosi e attiva script dannosi. L’avviso congiunto sottolinea in particolare che Truebot è in grado di nascondersi all’interno di un’ampia gamma di formati di file legittimi.
Sfruttamento CVE-2022-3119
Sebbene il phishing rimanga il più diffuso dei due metodi di diffusione di Truebot discussi nell’avviso congiunto, i ricercatori hanno inoltre osservato che gli autori delle minacce stanno cambiando tattica e hanno iniziato a sfruttare la vulnerabilità CVE-2022-3119 , una vulnerabilità che consente l’esecuzione di codice remoto in Netwrix Auditor.
Sfruttando questa vulnerabilità, gli autori delle minacce possono ottenere un accesso iniziale e muoversi lateralmente all’interno degli ambienti compromessi.
Che cos’è FlawedGrace?
Una volta scaricato il malware, Truebot si rinomina e scarica sul sistema infetto il trojan di accesso remoto (RAT) FlawedGrace (si apre in una nuova scheda). FlawedGrace è in grado di modificare il Registro di sistema e i programmi dello spooler di stampa che gestiscono il flusso dei documenti nella coda della stampante. Manipolando entrambe queste caratteristiche, FlawedGrace può elevare i propri privilegi e ottenere persistenza.
I payload crittografati vengono memorizzati nel registro durante la fase di esecuzione di FlawedGrace. È inoltre in grado di creare attività pianificate e di inserire payload nei file msiexec.exe e svchost.exe. Si tratta in tutti i casi di processi che aiutano FlawedGrace a facilitare un canale di comunicazione di tipo “comando e controllo” (C2), oltre a consentire al RAT di caricare le DLL che gli permettono di ottenere l’escalation dei privilegi.
Secondo l’avviso congiunto, i ricercatori hanno inoltre osservato che Truebot inserisce dei beacon di Cobalt Strike nella memoria, lasciandoli in modalità dormiente per le prime ore prima di avviare ulteriori operazioni successive alla compromissione.
Acquisizione delle prove, elusione della difesa
La prima fase del processo di esecuzione di Truebot prevede la verifica della versione corrente del sistema operativo tramite RtlGetVersion e l’analisi delle caratteristiche del processore tramite GetNativeSystemInfo.
In quello che sembra essere parte di una tendenza sempre più diffusa nel settore del malware di massa, alcune varianti di TrueBot presentano una grande quantità di codice di riempimento. Come spiega la nota informativa congiunta, il campione di Truebot analizzato era gravato da oltre un gigabyte di codice spazzatura, progettato per rendere difficili, se non impossibili in alcuni casi, le operazioni di rilevamento e analisi.
Una volta completati i controlli sopra menzionati, Truebot è in grado di enumerare tutti i processi in esecuzione, raccogliere dati sensibili relativi all’host e trasmettere tali dati tramite un flusso di dati codificato, al fine di preparare il terreno per l’esecuzione della seconda fase. E, sulla base delle caratteristiche degli IOC associati all’attività qui descritta, risulta che Truebot sia anche in grado di individuare protocolli e metriche di sicurezza software relativi all’ora di sistema. È probabile che tali funzionalità siano state concepite per eludere i sistemi di difesa, ma potrebbero anche rivelarsi utili per consentire al malware di sincronizzarsi con l’orologio interno di un sistema compromesso, facilitando così la pianificazione accurata delle attività.
Dal comunicato congiunto:
Successivamente, utilizza un’estensione .JSONIP (ad esempio, IgtyXEQuCEvAM.JSONIP) per creare un identificatore univoco a livello globale (GUID) composto da tredici caratteri — una stringa di testo a 128 bit che Truebot utilizza per etichettare e organizzare i dati che raccoglie... Dopo aver creato l’ GUID , Truebot compila ed elabora i dati relativi ai processi in esecuzione, trasformandoli in una stringa codificata in esadecimale con formato base64 o in una stringa univoca... L’obiettivo principale di Truebot è individuare la presenza di strumenti di debug relativi alla sicurezza. Tuttavia, la presenza di strumenti di debug identificati non modifica il processo di esecuzione di Truebot: i dati vengono compilati in una stringa codificata in formato base64 a fini di tracciamento e di elusione dei sistemi di difesa.
Raccolta ed esfiltrazione dei dati
Una volta completate le fasi sopra descritte, Truebot invia l’indirizzo IP e il nome di dominio del computer compromesso, insieme all’ GUID appena generato, all’indirizzo URL (predefinito nel codice) sotto forma di richiesta POST (come osservato nella stringa user-agent).
La richiesta POST avvia e stabilisce una connessione C2 in grado di supportare il traffico bidirezionale. Una volta stabilita questa connessione, il malware sfrutta un secondo dominio offuscato per vari scopi, tra cui, a titolo esemplificativo ma non esaustivo, il download di ulteriori payload, l’autoreplicazione all’interno dell’ambiente e/o l’eliminazione dei file che hanno supportato l’operazione fino a questo punto.
Ulteriori modalità e strumenti di consegna
Il seguente elenco riporta ulteriori vettori di diffusione e strumenti a cui Truebot è stato associato:
- Raspberry Robin (malware): Raspberry Robin è un malware in grado di diffondersi autonomamente (worm), collegato ad altre famiglie di malware e caratterizzato da vari metodi di infezione, tra cui l’installazione tramite un’un USB .
Raspberry Robin si è trasformato in una delle più grandi piattaforme di distribuzione di malware ed è stato osservato mentre distribuiva Truebot, oltre ad altri payload post-compromissione quali IcedID e il malware Bumblebee.
- Teleport (strumento): È stato osservato che alcuni autori di minacce informatiche utilizzano uno strumento personalizzato per l’esfiltrazione dei dati, denominato da Talos “Teleport”.
È noto che Teleport eluda il rilevamento durante l’esfiltrazione dei dati utilizzando una chiave di crittografia hardcoded nel file binario e un protocollo di comunicazione personalizzato che crittografa i dati utilizzando lo standard di crittografia avanzato (AES) e una chiave hardcoded.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Considerato il legame di TrueBot con organizzazioni criminali informatiche quali il gruppo CL0P , specializzato in estorsioni e ransomware, e alcune delle sue affiliate più pericolose, sarebbe imprudente non considerare TrueBot e l’attività sopra descritta come una minaccia grave — in particolare quando le sue operazioni sembrano prendere di mira le organizzazioni in modo così indiscriminato.»
2. Analisi dell’incursione di Charming Kitten nel mondo dei link LNK e del malware “ Mac ”
L’ultimo rapporto di Proofpoint , intitolato “ ” (si apre in una nuova scheda), analizza una recente campagna condotta da Charming Kitten, un gruppo di hacker iraniano finanziato dallo Stato. La campagna mette in evidenza l’arsenale aggiornato di malware dell’autore dell’attacco e le sue nuove tattiche, tecniche e procedure (TTP) — in particolare il fatto che miri a nuovi sistemi operativi, tra cui macOS.
Panoramica sulle minacce
In maggio 2023 , Proofpoint ha osservato che Charming Kitten inviava un messaggio di conversazione innocuo, spacciandosi per un ricercatore senior del Royal United Services Institute (RUSI).
L'e-mail innocua è stata inviata al referente stampa di un esperto di sicurezza nucleare presso un think tank con sede negli Stati Uniti specializzato in affari esteri. L'e-mail era volta a raccogliere un parere su un progetto specifico e chiedeva l'autorizzazione a inviare una bozza da sottoporre a revisione.
Charming Kitten si avvale di diversi fornitori di servizi di cloud hosting per mettere in atto una nuova catena di infezione che distribuisce una backdoor PowerShell recentemente identificata, nota come GorjolEcho. L'autore dell'attacco ha inoltre adattato il proprio malware e ha tentato di avviare una catena di infezione contro i dispositivi macOS. Proofpoint definisce questa catena di infezione e questa backdoor con il nome di NokNok.
Targeting con messaggi inoffensivi
Charming Kitten ricorre spesso a messaggi apparentemente innocui per individuare le proprie vittime. Mentre proseguono i negoziati sul Piano d’azione congiunto globale (JCPOA) e Teheran si trova sempre più isolata all’interno della propria sfera d’influenza, Charming Kitten sta concentrando la maggior parte delle proprie attività di attacco contro gli esperti che probabilmente influenzano tali politiche estere.
In uno degli episodi osservati di recente, l’autore dell’attacco ha contattato il proprio bersaglio tramite un’e-mail apparentemente innocua, per poi ricorrere a una strategia di impersonazione multipersona , citando ulteriori esperti nel tentativo di instaurare un rapporto di fiducia con la vittima.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Le TTP e le nuove backdoor osservate in questa campagna evidenziano la capacità di Charming Kitten di adattare le proprie catene di infezione per continuare ad avere successo nelle proprie operazioni di spionaggio.
Il cambiamento più rilevante di questa campagna è l’adattamento del loro malware per colpire i dispositivi macOS, consentendo all’autore della minaccia di disporre di una gamma più ampia di obiettivi."
Da Proofpoint:
L’utilizzo di script Google , Dropbox e CleverApps dimostra che Charming Kitten continua ad adottare un approccio multi-cloud nel tentativo, verosimilmente, di ridurre al minimo le interferenze da parte dei cacciatori di minacce.
3. Presunti hacker cinesi prendono di mira enti governativi europei nell’ambito della campagna SmugX
Un recente rapporto pubblicato da Check Point Research mette in luce una campagna di phishing attualmente in corso denominata SmugX, che presenta legami con un attore malintenzionato sostenuto dallo Stato cinese.
L’obiettivo della campagna sembra essere lo spionaggio e prevede due diverse catene di infezione progettate per diffondere il trojan di accesso remoto (RAT) PlugX.
Dettagli della campagna
Secondo quanto riferito, la campagna SmugX avrebbe avuto inizio nel dicembre 2022. Le vittime di questa operazione sono i ministeri degli Affari esteri e le ambasciate situate in paesi europei quali il Regno Unito, la Francia, la Svezia, l’Ucraina, la Repubblica Ceca, l’Ungheria e la Slovacchia.
I documenti utilizzati come esca nell’ambito della campagna di phishing vertono principalmente sulle politiche interne ed estere dell’Unione europea.
Da un articolo di BleepingComputer dedicato alla campagna:
Tra i campioni raccolti da Check Point nel corso dell’indagine figurano:
- Una lettera dell’Ambasciata serba a Budapest
- Un documento che illustra le priorità della Presidenza svedese del Consiglio dell’Unione europea
- Un invito a una conferenza diplomatica emanato dal Ministero degli Affari Esteri dell’Ungheria
- Un articolo su due avvocati cinesi che si occupano di diritti umani
Le esche utilizzate nella campagna SmugX rivelano il profilo dei bersagli dell’autore dell’attacco e indicano che l’obiettivo probabile della campagna sia lo spionaggio.
La ricerca di Check Point rivela che la campagna SmugX sfrutta due metodi di distribuzione innovativi (ciascuno dei quali comporta bassi tassi di rilevamento) per distribuire una nuova variante di PlugX, un RAT associato prevalentemente a diversi gruppi cinesi di minacce persistenti avanzate (APT) sponsorizzati dallo Stato.
La più rilevante delle due catene di attacco ricorre all’HTML smuggling (da cui il nome della campagna), una tecnica sempre più diffusa sia tra i criminali informatici che tra gli attori statali.
Contrabbando di codice HTML: un ripasso
Prima di approfondire le due catene di attacco osservate in questa campagna, dedichiamo un momento a rinfrescare le nostre conoscenze sul “contrabbando di codice HTML”, che Check Point descrive come “una tecnica ben documentata... I file dannosi sono incorporati nei documenti HTML, il che consente loro di eludere le misure di rilevamento basate sulla rete.”
Nella campagna SmugX, l’inserimento di codice HTML non autorizzato consente il download di un file JavaScript o di un file ZIP.
L'apertura di uno qualsiasi dei documenti HTML dannosi coinvolti nell'operazione innesca la seguente sequenza di eventi:
- In primo luogo, il payload incorporato nel codice del documento viene decodificato e salvato in un blob JavaScript, dove gli viene assegnato un tipo di file appropriato (ad esempio, application/zip).
- Successivamente, anziché utilizzare l'elemento HTML
<a>, il codice JavaScript lo crea dinamicamente. - Il suddetto blob JavaScript crea un oggetto ` URL ` utilizzando la funzione `createObjectURL`.
- L'attributo "download" viene impostato con il nome file desiderato.
- Infine, il codice attiva l'azione di clic, simulando il clic dell'utente sul collegamento e avviando il download del file.
Check Point sottolinea che, per le versioni precedenti del browser, il codice utilizza la funzione msSaveOrOpenBlob per salvare il blob con il nome file desiderato.
Due diverse sequenze di attacchi
La campagna SmugX si articola in due principali catene di infezione, entrambe le quali hanno origine da un file HTML.
Questo serve per salvare la seconda fase nelle cartelle di download delle vittime. Per quanto riguarda la seconda fase, si riscontrano alcune variazioni. Una delle due utilizza un file ZIP contenente un file LNK dannoso, mentre l’altra catena ricorre a JavaScript per scaricare un file MSI da un server remoto.
- La catena di archivi SmugX: nel primo dei due scenari sopra descritti, il file HTML nasconde un archivio ZIP contenente un file LNK dannoso progettato per eseguire PowerShell. Utilizzando il comando ` PowerShell`, l'autore dell'attacco estrae un archivio compresso incorporato nel file LNK, salvandolo nella directory %temp%.
- La catena JavaScript di SmugX: il secondo dei due vettori di infezione di PlugX sfrutta il “HTML smuggling” per scaricare un file JavaScript.
Una volta eseguito, il file scarica ed esegue un file . MSI e fornito dal server remoto degli autori dell’attacco. MSI crea una nuova cartella e la salva nella directory %appdata%\Local, nella quale vengono archiviati anche tre file estratti dal pacchetto MSI . Questi tre file rilasciati sono costituiti da un eseguibile legittimo compromesso, dalla DLL di caricamento e dal payload crittografato.
Per quanto riguarda la tecnica di caricamento adottata in questa campagna, vi sono poche differenze rispetto a molti altri casi di infezione da PlugX osservati in precedenza; il malware si avvale infatti di tecniche di sideloading delle DLL.
PlugX, versione aggiornata
Il payload finale di questa campagna è PlugX, un impianto che gli autori di minacce informatiche legati alla Cina utilizzano sin dal 2008. Si tratta di un malware modulare, che gli consente di funzionare come strumento di accesso remoto e di integrare al contempo una moltitudine di plugin, ciascuno con una funzionalità specifica. È proprio questo che consente agli operatori di portare avanti una vasta gamma di attività dannose sui sistemi compromessi. Tra gli esempi figurano il furto di file, le schermate, il keylogging e l’esecuzione di comandi.
Per quanto riguarda la persistenza, PlugX copia il programma legittimo e la DLL, memorizzandoli in una directory nascosta creata dall’impianto. Il payload crittografato viene inserito in una cartella nascosta separata e PlugX garantisce la propria persistenza aggiungendo il programma legittimo alla chiave di registro “Run”.
Attività APT sovrapposta
La valutazione di Check Point secondo cui la campagna SmugX è opera di un attore malintenzionato cinese non si basa esclusivamente sull’uso dell’implant PlugX da parte degli autori dell’attacco. I ricercatori dell’azienda basano inoltre la propria teoria sul fatto che la campagna presenti «significative somiglianze con attività attribuite da altri fornitori di soluzioni di sicurezza a RedDelta o a Mustang Panda».
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Alla luce dei fatti sopra esposti, sembra che Check Point abbia ragione nel collegare la campagna SmugX a un attore malintenzionato cinese.” L'obiettivo della campagna è chiaramente la raccolta di informazioni e lo spionaggio, e gli obiettivi della campagna sono in linea con gli interessi nazionali del governo cinese. «Il CTI continuerà a monitorare questa campagna e qualsiasi altra ad essa collegata per seguirne gli sviluppi».
Ha qualche riflessione su queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
