Questa settimana forniamo le ultime informazioni su CVE-2022-41352, una vulnerabilità che consente l’esecuzione di codice remoto (RCE) e che permette agli autori degli attacchi di inserire web shell e altri contenuti arbitrari all’interno dei server della Collaboration Suite (ZCS) di Zimbra.
Segnaliamo inoltre una nuova variante di Ursnif, che rappresenta l’ultimo stadio dell’evoluzione di questa famiglia di malware: da semplice trojan bancario a minaccia in grado di facilitare attacchi di ransomware e furto di dati.
Infine, concludiamo con una sintesi relativa a una backdoor denominata “ PowerShell ”, che si maschera come parte di un processo di aggiornamento legittimo di Windows .
1. 900 server (e il numero è in aumento) sono stati violati tramite un exploit di Zimbra
Secondo Kaspersky, un exploit di Zimbra ha portato alla compromissione di circa 900 server a seguito dell’attività di vari attori di minacce informatiche (tra cui quelli che gli esperti del settore hanno definito “APT avanzate”) impegnati nella ricerca e nello sfruttamento di una vulnerabilità critica nella Zimbra Collaboration Suite di (ZCS) (si apre in una nuova scheda) – una falla che è rimasta come vulnerabilità zero-day senza alcuna patch per quasi 1,5 mesi.
La falla di sicurezza, identificata con il numero CVE-2022-41352, è una vulnerabilità RCE che consente agli autori delle minacce di inserire web shell all’interno dei server ZCS e di eludere i controlli antivirus tramite un allegato di archivio dannoso accluso a un’e-mail inviata dall’autore dell’attacco.
La vulnerabilità è stata segnalata per la prima volta su 10 settembre 2022 da un utente del forum ufficiale di Zimbra all’indirizzo (si apre in una nuova scheda), il quale ha riferito che il proprio team aveva rilevato un incidente di sicurezza originatosi da un’istanza di Zimbra completamente aggiornata. Dopo aver esaminato i dettagli forniti dall’utente, Zimbra ha potuto confermare che una vulnerabilità sconosciuta consentiva effettivamente agli autori degli attacchi di caricare file arbitrari su server ZCS aggiornati. Il problema è legato al metodo con cui il motore antivirus di Zimbra — noto come Amavis — esegue la scansione delle e-mail in arrivo (Amavis utilizza infatti una funzione di Zimbra denominata cpio).
Soluzione alternativa di Zimbra per il problema CVE-2022-41352
La soluzione temporanea proposta da Zimbra ( ) per il problema CVE-2022-41352 (si apre in una nuova scheda) consisteva nell’installare l’utilità pax e riavviare i servizi Zimbra. Pax è installato di default su Ubuntu; pertanto, secondo quanto riferito, le installazioni di Zimbra basate su Ubuntu non risultano vulnerabili.
Da parte sua, Zimbra ha riconosciuto il rischio derivante dall’utilizzo di cpio in un post sul blog (si apre in una nuova scheda) in cui l’azienda ha fornito le misure di mitigazione raccomandate.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Sebbene non sia ancora stato determinato a quale gruppo APT sconosciuto sia da attribuire gran parte di questi attacchi, il CTI ha già osservato in precedenza attacchi simili, apparentemente casuali, in cui venivano distribuite web shell su quanti più server vulnerabili possibile. In tali casi (si apre in una nuova scheda), le vulnerabilità erano presenti nei server Microsoft Exchange ; la web shell coinvolta era China Chopper e l’autore dell’attacco era HAFNIUM, un gruppo legato alla Cina.”
“Resta da vedere quale gruppo malintenzionato — se ve ne sia uno — sia collegato all’attuale ondata di attacchi ai server Zimbra, in particolare a quelli situati in Asia centrale, e se tale attività ostile rientri in una campagna coordinata. Ciò che è certo è che tale attività presenta indubbiamente somiglianze con le attività storiche degli APT, sia in termini di portata che di intensità. Come evidenziato da numerose note informative della CISA, , questo non è il primo caso (si apre in una nuova scheda) in cui le vulnerabilità presenti nella soluzione ZCS di Zimbra sono state oggetto di intenso interesse da parte di vari gruppi APT.”
2. Una nuova variante del malware Ursnif si concentra ora sul ransomware e sul furto di dati
Un recente rapporto pubblicato da Mandiant analizza un apparente allontanamento dallo scopo e dalla funzionalità originari del malware Ursnif . (si apre in una nuova scheda)
I ricercatori hanno osservato come Ursnif si sia evoluto da un trojan progettato per agevolare le frodi bancarie a un malware più versatile, in grado di preparare il terreno per attacchi di ransomware e furto di dati. Negli ultimi anni Ursnif ha subito una serie di cambiamenti.
Che cos’è Ursnif e questa nuova variante di malware?
Ursnif (si apre in una nuova scheda) (nota anche come ISFB – ne parleremo più avanti) è una delle famiglie di malware bancario più antiche e di maggior successo ancora attive oggi, a oltre un decennio dalla sua comparsa nel panorama delle minacce informatiche. Nel corso degli anni, gli autori e i collaboratori di questo malware ne hanno realizzato diverse versioni, e Ursnif è spesso collegato ad altre famiglie e varianti di malware. Il suo codice sorgente è trapelato almeno in due occasioni distinte dalla sua prima apparizione di rilievo, dando origine a versioni aggiuntive che sono ancora oggi in circolazione.
A questo punto, Ursnif non è più considerato un singolo malware, bensì una famiglia di varianti. Molti ricercatori oggi definiscono questa famiglia di malware come Gozi (si apre in una nuova scheda)/ISFB (si apre in una nuova scheda). Tali varianti comprendono:
- ISFB: dal codice sorgente trapelato di Gozi, su cui si basano molte varianti di Ursnif. Attivo prima del 2014.
- Dreambot: Mandiant sottolinea che questa è una delle varianti di maggior successo. Active 2014-2020.
- IAP: il ramo dell’ISFB più attivamente sviluppato e diffuso, oggetto di frequenti campagne di malware rivolte all’Italia. Attivo dal 2014 ad oggi.
- RM2: Conosciuto anche con il nome di GoziAT, RM2 ha iniziato la propria attività anni fa con il malware Chanitor (noto anche come Hancitor). Active 2016-2021.
- RM3: Grazie al suo formato personalizzato dei file eseguibili, si tratta della versione più sofisticata finora individuata, che dal 2017 ha colpito principalmente l’Oceania e il Regno Unito. Active 2017-2021.
- LDR4: La variante più recente, che segna il passaggio dalle frodi bancarie al ransomware. Attivo ora.
Il LDR4 è stato osservato per la prima volta da Mandiant il 23 giugno, mentre il 2022being è stato diffuso tramite un’esca di attacco di phishing legata alle assunzioni, all’indirizzo. L'e-mail contiene solitamente un link a un sito web compromesso che reindirizza l'utente verso un dominio che si spaccia per un'azienda legittima. Una sfida CAPTCHA comporta il download di un documento Excel presentato alle vittime come un file correlato all’esca utilizzata per il reclutamento. Il documento procede quindi al download e all'esecuzione del payload LDR4 .
A differenza della precedente variante di Ursnif, la variante LDR4 non utilizza più il formato eseguibile personalizzato PX. I ricercatori ritengono che questa scelta possa essere stata adottata per evitare di complicare eccessivamente la fase di risoluzione dei problemi, poiché gli sviluppatori di malware vorrebbero probabilmente concentrare i propri sforzi sulla messa a punto delle caratteristiche più importanti della variante. Anche questa nuova variante è chiaramente una backdoor, il che rende Ursnif l’ultima di una lunga serie di famiglie di malware a seguire le orme di Emotet e TrickBot per quanto riguarda i cambiamenti di strategia.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il fatto che Ursnif, o una sua variante, continui a essere rilevante ben oltre un decennio dopo la sua comparsa iniziale nel panorama delle minacce dimostra chiaramente che i suoi sviluppatori sono in grado di stare al passo con le tendenze in costante evoluzione del settore del malware. «L’evoluzione del malware da trojan bancario a backdoor costituisce un indicatore fondamentale dei suoi tentativi di stare al passo con i tempi».
“Tuttavia, sembra che i suoi sviluppatori non abbiano saputo cogliere due occasioni fondamentali: lo smantellamento di Trickbot ed Emotet ad opera di task force specializzate delle forze dell’ordine. Se Ursnif avesse cambiato strategia in un momento in cui si era creato un certo vuoto di potere nel panorama delle minacce, avrebbe potuto riscuotere un successo straordinario, sulla scia di malware come IcedID. Ciononostante, data la sofisticatezza storica e il notevole successo riscosso da Ursnif, i ricercatori ritengono che questa nuova variante possa essere altrettanto pericolosa.”
3. Gli esperti mettono in guardia da una backdoor nascosta denominata “ PowerShell ”, che si maschera da aggiornamento di “ Windows ”
Un recente rapporto pubblicato da SafeBreach Labs rivela quella che molti media stanno definendo una nuova backdoor “del tutto impercettibile” PowerShell. Si tratta di un caso piuttosto singolare, dato che la backdoor è stata effettivamente individuata, come dimostrano i vari ricercatori che ne hanno segnalato l’esistenza. La backdoor, finora non documentata, è in grado di raggiungere un livello significativo di occultamento camuffandosi come parte di un processo di aggiornamento legittimo di Windows .
Informazioni sulla backdoor “ PowerShell ”
Il malware stesso si dedica principalmente ad attività di esfiltrazione dei dati sugli host compromessi. L'attacco rilevato da SafeBreach Labs ha avuto inizio con un documento Word dannoso che conteneva un codice macro finalizzato all'esecuzione dello script PowerShell . Il documento Word era intitolato “Apply Form.docm” ed è stato caricato su 25 agosto 2022 da un indirizzo IP situato in Giordania. Si ritiene che questo file sia collegato a un’esca di spear-phishing relativa a una candidatura di lavoro basata su LinkedIn, di cui abbiamo riscontrato numerosi casi negli ultimi tempi. È opportuno sottolineare che, affinché questo punto di accesso iniziale funzioni correttamente, è necessario che le macro siano abilitate all’interno del documento.
Il macro dropper — updater.vbs — crea un’attività pianificata che finge di far parte di un normale aggiornamento di Windows . Lo script verrà eseguito da una cartella di aggiornamento fittizia situata in %appdata%\local\Microsoft\Windows ed eseguirà uno script denominato PowerShell .
Un errore commesso dall’autore dell’attacco porta alla scoperta
SafeBreach Labs ha osservato che gli autori della minaccia all’origine della backdoor hanno commesso un errore cruciale utilizzando ID delle vittime sequenziali e prevedibili. I ricercatori sono riusciti a sviluppare uno script che simulava l'identità di varie vittime compromesse e hanno registrato le C2 risposte in un file di acquisizione dei pacchetti (pcap). Hanno quindi eseguito un secondo strumento per estrarre i comandi crittografati da quel file pcap. L'output è stato convogliato in CyberChef per decriptare il comando relativo a ciascun ID/numero della vittima.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questo è solo l’esempio più recente di un utilizzo doloso di uno script di PowerShell . All’inizio di questo mese abbiamo riportato la notizia di una tecnica “mouseover” , piuttosto rara, utilizzata per la diffusione di malware. L’intero episodio dovrebbe servire da monito sia ai criminali informatici che agli sviluppatori legittimi, a ricordare che un errore apparentemente insignificante — o una funzionalità, come sembra in questo caso — può avere conseguenze catastrofiche. “In ogni caso, sebbene gli autori della minaccia all’origine di questa backdoor denominata ‘ PowerShell ’ abbiano commesso un semplice errore durante la sua realizzazione, che ne ha determinato la scoperta, si tratta comunque di un’operazione sofisticata.”
«La capacità del malware di mascherarsi come parte del processo di aggiornamento di Windows , così come il ricorso all’ingegneria sociale tramite LinkedIn, denota un certo livello di competenza. Questa attività ci ricorda inoltre che una minaccia non ha bisogno di essere su tutti i giornali né di avere un nome altisonante per avere successo, poiché questa backdoor senza nome conta già oltre 60 vittime.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”.
