CTI Roundup: Un'Agenzia Federale Statunitense Violata Tramite Telerik

In primo luogo, il CTI riporta un avviso congiunto emesso dalla CISA, dall’FBI e dall’MS-ISAC in merito alla violazione subita lo scorso anno dalla rete di un’agenzia federale civile del ramo esecutivo (FCEB) di cui non è stato reso noto il nome. Successivamente, CTI analizza in dettaglio un recente rapporto congiunto redatto dall’ Mandiante e da Fortinet su una serie di attacchi rivolti contro organizzazioni governative, nel corso dei quali gli autori hanno sfruttato una vulnerabilità zero-day di Fortinet (CVE-2022-41328) per diffondere due nuove varianti di malware. Infine, CTI conclude con un'analisi di una nuova campagna attribuita al gruppo APT (Advanced Persistent Threat) denominato Tick, che, secondo quanto riferito, avrebbe preso di mira un’azienda dell’Asia orientale specializzata nello sviluppo di software per la prevenzione della perdita di dati (DLP).

1. Un'agenzia federale statunitense è stata vittima di un attacco informatico che ha sfruttato una vecchia vulnerabilità di Telerik per sottrarre dati

Secondo un avviso congiunto “” pubblicato dalla CISA, dall’FBI e dall’MS-ISAC (si apre in una nuova scheda), nel 2022 il server web Internet Information Services (IIS) Microsoft di un’agenzia federale statunitense è stato oggetto di un attacco informatico, nel corso del quale l’autore ha sfruttato una vulnerabilità critica di deserializzazione .NET (CVE-2019-18935 (si apre in una nuova scheda)) che interessava il componente AJAX Progress Telerik UI per ASP.NET (si apre in una nuova scheda) componente AJAX.

Come spiega l’avviso congiunto, gli autori dell’attacco hanno avuto accesso al server tra il novembre 2022 e le prime ore del gennaio 2023 , sulla base degli indicatori di compromissione (IOC) rilevati sulla rete di un’agenzia del ramo esecutivo civile federale (FCEB) di cui non è stato reso noto il nome.

Da BleepingComputer:

Dopo aver violato il server di un’agenzia federale civile del ramo esecutivo (FCEB) di cui non è stato rivelato il nome, hanno inserito payload dannosi nella cartella C:\Windows\Temp\ per raccogliere ed esfiltrare informazioni verso server di comando e controllo gestiti dagli autori dell’attacco.

Il malware installato sul server IIS compromesso potrebbe distribuire ulteriori payload, eludendo il rilevamento cancellando le proprie tracce dal sistema e aprendo reverse shell per mantenere la persistenza.

Il malware in questione potrebbe inoltre essere utilizzato per inserire una web shell ASPX, fornendo agli autori dell’attacco un’interfaccia che consentisse loro di esplorare il sistema locale, scaricare e caricare file ed eseguire comandi da remoto. Tuttavia, come specificato nell’avviso, «non è stato rilevato il rilascio di alcun webshell sul sistema di destinazione, probabilmente a causa dei permessi di scrittura limitati dell’account di servizio oggetto di abuso».

Il malware installato sui server IIS compromessi viene analizzato in modo più approfondito in un rapporto di analisi del malware , disponibile all’indirizzo (si apre in una nuova scheda), pubblicato contemporaneamente dalla CISA.

Vulnerabilità interessate

Come riportato dalla CISA, CVE-2019-18935, una vulnerabilità di deserializzazione .NET presente in un’istanza di Telerik UI for AJAX Q2 2013 SP1 (versione 2013,2,717) in esecuzione su un server IIS Microsoft di un’agenzia dell’FCEB è stata sfruttata con successo durante l’attacco.

La vulnerabilità in questione ha consentito agli autori dell'attacco di ottenere un accesso interattivo al server web e di eseguire con successo codice da remoto sul server web vulnerabile.

Da parte della CISA:

Sebbene lo scanner di vulnerabilità dell’agenzia disponesse del plugin appropriato per la vulnerabilità CVE-2019-18935, non è riuscito a Detect la vulnerabilità poiché il software Telerik UI era installato in un percorso di file che solitamente non viene sottoposto a scansione.

La CISA ha aggiunto la vulnerabilità di sicurezza CVE-2019-18935 Progress Telerik UI al proprio catalogo delle vulnerabilità note soggette a sfruttamento (KEV) all’indirizzo novembre 2021. L'avviso prosegue affermando che nell'incidente potrebbero aver avuto un ruolo anche altre vulnerabilità.

Attori malintenzionati e tecniche utilizzate

Secondo BleepingComputer, almeno due attori malintenzionati — uno dei quali è il gruppo vietnamita XE Group (si apre in una nuova scheda) — sono riusciti ad accedere al server privo di patch e a ottenere l’esecuzione remota di codice sfruttando il bug CVE-2019-18935 . (si apre in una nuova scheda) I punti chiave dell’operazione sono i seguenti:

• È stato osservato che XE Group stava conducendo un’attività di ricognizione e scansione compatibile con lo sfruttamento riuscito della vulnerabilità CVE-2019-18935 nel server IIS dell’agenzia.
• Durante lo sfruttamento della vulnerabilità, è stato osservato che gli autori dell’attacco caricavano file DLL dannosi, camuffati da file PNG, nella directory C:\Windows\Temp\.
• I file dannosi sono stati quindi eseguiti dalla directory C:\Windows\Temp\ tramite il processo the w3wp.exe, un processo legittimo che viene eseguito sui server IIS. Questo processo è di routine per la gestione delle richieste inviate ai server web e per la distribuzione dei contenuti. Dall’analisi dei registri antivirus è emerso che alcuni file DLL erano stati creati e rilevati già nel mese di agosto 2021, secondo quanto riferito dalla CISA.

Inoltre, i file dannosi inseriti nel server IIS compromesso presentavano una convenzione di denominazione dei file coerente con quanto riportato in precedenti segnalazioni, secondo cui gli autori delle minacce ricorrono comunemente a tale schema quando sfruttano la vulnerabilità CVE-2019-18935.

Da parte della CISA:

Gli autori delle minacce denominano i file nel formato Unix Epoch Time e utilizzano la data e l'ora registrate sul sistema di destinazione. La convenzione di denominazione dei file segue lo schema [10 cifre].[7 cifre].dll (ad esempio, un file creato il 31 ottobre 2022 potrebbe chiamarsi be 1667203023,5321205.dll).

In diversi casi, le tracce che ci si sarebbe aspettati di trovare nel corso di un’indagine su tali attività non erano disponibili per l’analisi poiché erano state eliminate dal malware degli autori dell’attacco. Secondo quanto riferito, il malware in questione individua e rimuove i file con estensione .dll dalla directory C:\Windows\Temp\.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

"Oltre ad applicare regolarmente le patch al software, è altrettanto importante assicurarsi che i file DLL siano collegati a percorsi in cui le misure di sicurezza, i programmi antivirus e le soluzioni diendpoint effettuino regolarmente scansioni alla ricerca di file anomali e di qualsiasi altro elemento fuori posto." È altrettanto importante assicurarsi che i meccanismi di difesa siano configurati in modo da analizzare i percorsi dei file che gli autori delle minacce utilizzano comunemente."

Da BleepingComputer:

La CISA, l’FBI e l’MS-ISAC raccomandano di adottare diverse misure di mitigazione per proteggersi da ulteriori attacchi mirati a questa vulnerabilità; tra le misure più rilevanti figurano:

• Eseguite l'aggiornamento di tutte le istanze di Telerik UI ASP.NET (si apre in una nuova scheda) AJAX alla versione più recente, previa esecuzione di adeguati test.
• Monitorare e analizzare i registri delle attività generati da Microsoft , IIS e PowerShell in remoto.
• Limiti gli account di servizio alle autorizzazioni minime necessarie per l'esecuzione dei servizi.
• Si dia priorità alla risoluzione delle vulnerabilità nei sistemi esposti a Internet.
• Si raccomanda di implementare una soluzione di gestione delle patch per garantire la conformità alle più recenti patch di sicurezza.
• Si assicuri che gli strumenti di scansione delle vulnerabilità siano configurati in modo da coprire un ambito completo di dispositivi e sedi.
• "Attuare la segmentazione della rete per separare i segmenti di rete in base al ruolo e alla funzionalità."

"La CISA, l’FBI e l’MS-ISAC raccomandano inoltre di testare, simulare e verificare i programmi di sicurezza rispetto ai comportamenti di minaccia mappati sul framework MITRE ATT&CK " " ( for Enterprise), menzionato nell’avviso."

2. Un presunto attore cinese utilizza una vulnerabilità zero-day di Fortinet e malware personalizzato in un’operazione di spionaggio

Secondo Mandiant, un attore malintenzionato cinese, sospettato di essere sostenuto dallo Stato, è stato collegato a una serie di attacchi rivolti contro organizzazioni governative, nel corso dei quali gli autori hanno sfruttato una vulnerabilità zero-day di Fortinet relativa a (si apre in una nuova scheda) (CVE-2022-41328) per distribuire malware.

La vulnerabilità di sicurezza zero-day in questione, denominata CVE-2022-41328, è stata resa nota da Fortinet (si apre in una nuova scheda) in un recente avviso pubblicato su (si apre in una nuova scheda) in cui si afferma che:

"Una [sic] limitazione impropria del percorso a una directory soggetta a restrizioni ('path traversal') [CWE-22] in FortiOS potrebbe consentire a un malintenzionato con privilegi di leggere e scrivere file arbitrari tramite comandi CLI appositamente creati..."

Fortinet ha rilasciato aggiornamenti di sicurezza per risolvere la vulnerabilità ad alto livello di gravità, che potrebbe consentire agli autori delle minacce di eseguire codice o comandi non autorizzati. L’avviso non faceva alcun riferimento allo sfruttamento del bug in ambiente reale, ma un rapporto di Fortinet pubblicato circa due settimane fa ha rivelato che erano stati utilizzati CVE-2022-41328 exploit per hackerare e mettere fuori uso diversi dispositivi firewall FortiGate (si apre in una nuova scheda) appartenenti a uno dei suoi clienti — lo stesso incidente al centro dell’ultimo articolo pubblicato da Mandiant, in cui l’azienda riconosce di collaborare con Fortinet per indagare sullo sfruttamento e la diffusione di malware in varie soluzioni Fortinet.

Quali sono le conseguenze?

Secondo Fortinet, sono interessate le seguenti versioni di FortiOS:

• Dalle versioni 6,4,0 alla 6,4,11
• Dalle versioni 7,0,0 alla 7,0,9
• Dalle versioni 7,2,0 alla 7,2,3
• Tutte le versioni di FortiOS 6,0 e 6,2

Dettagli dell'attacco

Secondo quanto riportato da Mandiant, gli attacchi si sono verificati a metà del 2022. L’analisi delle attività successive allo sfruttamento associate a un singolo caso ha rivelato che il malware distribuito dal presunto attore cinese — grazie in gran parte allo sfruttamento della vulnerabilità CVE-2022-41328 — potrebbe essere utilizzato a fini di spionaggio informatico, esfiltrazione di dati, apertura di shell remote, nonché per il download e la scrittura di file sui dispositivi compromessi.

Gli attacchi sono stati di natura altamente mirata, con vittime costituite da reti governative e grandi organizzazioni.

Chi è UNC3886?

UNC3886 è un gruppo sospettato dall’ Mandiant di avere legami con la Cina e che è stato associato al nuovo VMware al framework di malware per l’hypervisor ESXi (si apre in una nuova scheda) rivelato in settembre 2022.

Al momento delle violazioni dell’hypervisor ESXi, Mandiant ha rilevato UNC3886 connessioni dirette da dispositivi FortiGate e FortiManager a VIRTUALPITA (si apre in una nuova scheda) backdoor in diverse occasioni.

Gli autori dell’attacco hanno dato prova di un notevole grado di sofisticazione e di “capacità avanzate”.

"L'attacco è altamente mirato e presenta alcuni indizi che indicano come obiettivi preferiti enti governativi o soggetti collegati al governo", ha affermato Fortinet. "L'exploit richiede una conoscenza approfondita di FortiOS e dell'hardware sottostante. Gli impianti personalizzati dimostrano che l’attore possiede competenze avanzate, tra cui la capacità di effettuare il reverse engineering di varie parti di FortiOS.

Gli obiettivi degli attacchi sono in linea con i recenti modelli di azione messi in atto dagli attori coinvolti nelle attività di spionaggio informatico sostenuti dallo Stato cinese.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

«L’attività dolosa presenta certamente tutte le caratteristiche tipiche di un’operazione sponsorizzata dallo Stato e, come già affermato in precedenza, i modelli di attacco osservati, le capacità avanzate e l’uso di un exploit zero-day potrebbero tutti essere indicativi del coinvolgimento di un gruppo APT cinese. Sembra che sia stato un colpo di fortuna ad aver attirato l’attenzione degli investigatori sulla presenza di questo attore, fin dall’inizio. Se si trattasse dell’opera di un gruppo di hacker legato alla Cina e operante sotto il nome di “ ”, ciò non sarebbe sorprendente, poiché molti dei gruppi di hacker sostenuti dallo Stato cinese sono notoriamente discreti e hanno dimostrato di essere in grado di portare a termine intrusioni che si protraggono per diversi anni. «La CTI seguirà da vicino questa vicenda».

3. Tick APT prende di mira i clienti di alto profilo di un’azienda dell’Asia orientale specializzata nella prevenzione della perdita di dati

ESET sostiene che una nuova campagna attribuita al gruppo APT “ ” ( , si apre in una nuova scheda) () ( ) abbia preso di mira un’azienda dell’Asia orientale che sviluppa software per la prevenzione della perdita di dati (DLP).

Secondo ESET, il gruppo ha compromesso i server interni di aggiornamento dell’azienda per diffondere malware e programmi di installazione infettati da trojan di strumenti legittimi utilizzati dall’azienda. I programmi di installazione infettati da trojan sono stati trasmessi a due clienti dell’azienda tramite un software di assistenza remota.

Informazioni su Tick

• Tick, noto anche come , Bronze Butler, (si apre in una nuova scheda),, , è un gruppo di spionaggio informatico che si ritiene abbia origini cinesi.
• Si ritiene che il gruppo, denominato “”, sia (si apre in una nuova scheda) attivo almeno dal 2006, con obiettivi principalmente nella regione APAC.
• Tick utilizza un arsenale di malware personalizzato, progettato per garantire la persistenza, la ricognizione, l’esfiltrazione dei dati e il download di strumenti aggiuntivi.
• Tick era già stato rilevato (si apre in una nuova scheda) mentre sfruttava la vulnerabilità ProxyLogon.

Panoramica sull'attacco

Più o meno nello stesso periodo in cui Tick ha sfruttato la vulnerabilità ProxyLogon, è stato osservato che l’operazione stava ottenendo l’accesso a un’azienda di sviluppo software dell’Asia orientale. La campagna ha sfruttato del malware e ha sostituito i programmi di installazione di un’applicazione legittima, Q-dir, con versioni infettate da trojan al fine di introdurre una backdoor denominata ReVBShell.

Tale attività ha comportato la compromissione di due clienti dell’azienda, poiché il malware è stato trasmesso tramite un software di assistenza remota. I ricercatori ritengono che ciò sia avvenuto mentre la società DLP forniva assistenza tecnica a tali clienti.

Cronologia dell'attacco

Nel caso “ marzo 2021”, l’autore dell’attacco ha diffuso malware su diverse postazioni dell’azienda specializzata in DLP. Il malware comprendeva varianti delle famiglie Netboy e Ghostdown, nonché un downloader finora non documentato denominato ShadowPy.

Successivamente sono state introdotte nella rete copie infettate da trojan dei programmi di installazione di Q-dir. Alcuni mesi dopo, questi programmi di installazione contenenti trojan sono stati trasmessi ai clienti dell’azienda DLP.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

«Che fosse o meno l’intenzione degli autori dell’attacco, questa campagna ha portato alla trasmissione di programmi di installazione infettati da trojan a due clienti dell’azienda.» Non è chiaro come ciò sia avvenuto esattamente, ma si ritiene che sia successo nel corso di una sessione di assistenza tecnica tra l’azienda e i propri clienti, durante la quale sono stati utilizzati strumenti di assistenza remota quali ANYSUPPORT e helpU."

"I ricercatori non ritengono che un attacco di tipo 'supply-chain' fosse l'obiettivo principale della campagna, bensì piuttosto un risultato indiretto delle loro operazioni. In definitiva, ciò che conta sono i risultati, e il fatto che si sia potuto verificare un attacco alla catena di approvvigionamento (forse per caso) evidenzia come tali incidenti rappresentino ancora una minaccia concreta per le imprese.”

Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .