• Evoluzione delle tattiche: i rilevamenti delle minacce legate a Sandworm Team, gruppo storicamente noto per le sue operazioni informatiche dirompenti, hanno fatto rilevare un impressionante incremento pari al 1.669%, con una varianza del contributo proporzionale del 40%. Questo incredibile aumento suggerisce un’escalation senza precedenti nelle attività informatiche da parte del gruppo legato alla Russia.

• Espansione aggressiva delle operazioni: i rilevamenti delle attività del gruppo APT29, molto attivo nello spionaggio informatico, sono aumentati del 124%. Analogamente, i rilevamenti associati a APT34 e Covellite sono aumentati sostanzialmente, rispettivamente del 97% e dell’85%, indicando tempi operativi maggiori o l’avvio di nuove campagne.

• Omeostasi: per contro, i livelli di attività di gruppi come Mustang Panda, Turla e APT28 sono rimasti a livelli minimi, con Mustang Panda che ha mostrato un leggero calo (-2%) e Turla un aumento modesto (3%).

• Comparsa di nuovi criminali informatici: degna di nota la comparsa di UNC4698, i cui rilevamenti sono aumentati del 363%, suggerendo l’ascesa di un nuovo protagonista potenzialmente significativo nel panorama delle APT.

I rilevamenti associati a gruppi meno noti o non identificati, hanno registrato un aumento del 62%, indicando l’esistenza di una gamma di minacce diversificata e in crescita al di là di entità APT ben documentate. Questo aumento dell’8% del loro contributo proporzionale rispetto al numero complessivo di rilevamenti evidenzia la costante evoluzione e diversificazione delle minacce informatiche.

Gruppi APT e paesi di origine

I gruppi di criminali informatici legati alla Cina rimangono gli autori più prolifici di attività APT

Se si prendono in esame i Paesi di origine, i dati di telemetria di Trellix da ottobre 2023 a marzo 2024 mostrano anche notevoli cambiamenti nel panorama delle attività dei gruppi di criminali informatici sponsorizzati dagli stati.

• Escalation considerevole delle operazioni: le motivazioni geopolitiche e le competenze di sicurezza informatica evolvono nelle diverse nazioni. I nostri dati di telemetria indicano quanto segue:

  • I rilevamenti di minacce APT imputabili a gruppi legati alla Russia sono aumentati in modo significativo (+31%), mentre il loro contributo proporzionale è aumentato del 4%. Ciò indica un’escalation considerevole delle operazioni informatiche, che potrebbe riflettere l’ampliamento degli obiettivi strategici o delle risposte alle dinamiche globali della sicurezza informatica.

  • Le attività informatiche dei gruppi legati all’Iran si sono intensificate, con un aumento dell’8% dei rilevamenti e del 3,89% del contributo proporzionale. Questi dati mettono in luce un’espansione significativa delle operazioni informatiche dell’Iran, in linea con i suoi obiettivi geopolitici e il suo coinvolgimento nella guerra tra Israele e Hamas.

• Una più ampia diversificazione: la Cina rimane l’artefice più prolifico di attività APT, con rilevamenti in leggero aumento (1%). Tuttavia, il suo contributo proporzionale al numero complessivo di rilevamenti ha visto un leggero calo (-1%), che potrebbe suggerire una più ampia diversificazione delle origini di APT in questo periodo. Nel febbraio 2024, il gruppo APT Volt Typhoon affiliato alla Cina ha implementato tentativi importanti per colpire le infrastrutture critiche statunitensi. Maggiori informazioni su questo punto sono incluse nella sezione seguente.

• Cambio di strategia: al contrario, le attività APT dei gruppi legati a Corea del Nord, Vietnam e India si sono ridotte drasticamente: i rilevamenti legati alla Corea del Nord sono calati dell’82%, quelli imputabili al Vietnam dell’80% e quelli imputabili all’India dell’82% La significativa diminuzione del contributo proporzionale della Corea del Nord (-6%) è particolarmente degna di nota, a indicare probabilmente un cambio in termini di focalizzazione, strategia o competenze.

• Comparsa di altri Paesi: i gruppi legati al Pakistan e alla Bielorussia hanno registrato incrementi significativi delle loro attività APT, con un aumento dei rilevamenti, del 55% e addirittura del 2.019%, rispettivamente. Tali aumenti, in particolare il rialzo esponenziale associato alla Bielorussia, sottolinea la comparsa di nuovi criminali informatici o precedentemente non noti nell’arena delle APT.

  La categoria “Altri” mostra un i incremento del 121% dei rilevamenti, a indicare che le attività APT non sono limitate alle nazioni menzionate più di frequente. Questa diversità mette in luce la natura globale delle minacce informatiche e la necessità di adottare un approccio alla sicurezza informatica adattivo e di ampio respiro.

Seguiremo da vicino queste nuove tendenze nei prossimi mesi.

Paesi e regioni colpiti da attività APT

La Turchia ha registrato un aumento senza precedenti dei rilevamenti relativi a gruppi APT

Questa sezione si concentra sulle aree geografiche in cui Trellix ha rilevato attività correlate a gruppi APT tra il quarto trimestre 2023 e il primo trimestre 2024, rivelando cambiamenti significativi in termini di focalizzazione e strategia tra questi criminali informatici sofisticati.

Gli esperti del Trellix Advanced Research Center stimano con un moderato livello di fiducia che i seguenti fattori abbiano avuto un impatto sulle attività rilevate in alcuni paesi e regioni: 

• Obiettivi operativi: i rilevamenti di minacce che prendono di mira la Turchia sono aumentati del 1.458%, che si traduce in un incremento del 16% del loro contributo proporzionale ai rilevamenti totali. Questo incremento significativo indica un importante rafforzamento dell’attenzione delle minacce informatiche verso la Turchia, a riflettere probabilmente tensioni geopolitiche più ampie o obiettivi operativi specifici dei gruppi APT.

• Importanza strategica: anche le minacce contro India e Italia hanno registrato incrementi considerevoli, con rilevamenti in aumento rispettivamente del 614% e del 308%. La crescente importanza di questi Paesi nell’elenco degli obiettivi può indicare la loro crescente importanza strategica nel mondo informatico, dovuta a fattori economici, politici o tecnologici.

• Un panorama sempre più ampio: curiosamente, Vietnam e Stati Uniti, pur continuando a generare rilevamenti APT significativi, mostrano tendenze diverse. I rilevamenti in Vietnam sono aumentati del 9%, anche se il loro contributo proporzionale è sceso del -9%, a indicare un ampliamento del panorama preso di mira. I rilevamenti delle minacce contro gli Stati Uniti hanno osservato un moderato aumento del 15% ma un calo del -7% nel loro contributo proporzionale, suggerendo una diversificazione nelle strategie di targeting dei gruppi APT.

• Sviluppi geopolitici: i rilevamenti di minacce contro Germania, Cina, Papua Nuova Guinea e Brasile sono aumentati, con la Germania e la Cina con modifiche significative in termini di contributo proporzionale. Questa diversificazione del targeting riflette gli adeguamenti strategici e opportunistici dei gruppi APT in risposta ai livelli di sicurezza informatica globali e agli sviluppi geopolitici.

• Miglioramento della sicurezza nazionale: al contrario, i rilevamenti di minacce contro l’Indonesia hanno registrato un calo degno di nota del 48%, unito a un contributo proporzionale ridotto del 4%. Questa riduzione può suggerire un temporaneo calo di priorità o un efficace potenziamento delle misure nazionali di sicurezza informatica.

• Consolidamento del focus: la categoria “Altri”, che rappresenta l’insieme di diversi altri Paesi in cui Trellix ha rilevato attività APT, ha registrato un calo del 23% dei rilevamenti a un calo del 21% in termini di contributo proporzionale. Questa diminuzione evidenzia un potenziale consolidamento dell’attenzione da parte dei gruppi APT su obiettivi specifici di elevato interesse durante questo periodo.

Riteniamo che il panorama possa continuare a cambiare rapidamente a causa delle tendenze geopolitiche.

Strumenti dannosi

L’analisi degli strumenti dannosi utilizzati nelle campagne APT tra il quarto trimestre 2023 e il primo trimestre 2024 rivela tendenze degne di nota nelle preferenze e nelle tattiche operative dei criminali informatici. La varianza dei tassi di rilevamento e del loro contributo proporzionale fornisce informazioni sul panorama delle minacce informatiche in continua evoluzione e sulle mutevoli dinamiche nell’utilizzo degli strumenti da parte di questi gruppi sofisticati.

Abbiamo osservato le seguenti tendenze:

• Rafforzamento degli strumenti d’attacco: Cobalt Strike rimane lo strumento preferito per molti gruppi di criminali informatici, nonostante un calo del 17% dei rilevamenti. Il suo calo relativamente contenuto del suo contributo proporzionale (-1%) suggerisce che mantiene la sua popolarità ed efficacia nelle operazioni informatiche, sottolineando la difficoltà di difendersi da strumenti d’attacco versatili e ampiamente utilizzati.

• Utilizzo di attacchi web shell, PowerShell e con accesso remoto: China Chopper, PowerSploit e Gh0st RAT hanno altresì registrato cali significativi, rispettivamente del 23%, 24% e 24%. Nonostante tali cali, questi lievi cambiamenti nella varianza del contributo proporzionale indicano che rimangono parte integrante del kit di strumenti dei criminali informatici. Questi strumenti, noti per le loro funzionalità negli attacchi web shell, exploit PowerShell e attacchi di accesso remoto, evidenziano il continuo utilizzo di strumenti collaudati e versatili per condurre operazioni informatiche.

• Strumenti meno rilevabili: Empire, Derusbi, BADFLICK, JJdoor/Transporter, JumpKick e MURKYTOP hanno registrato un’analoga tendenza di calo dei rilevamenti, con diminuzioni superiori al 25%. Questo declino uniforme potrebbe riflettere un più ampio cambiamento negli strumenti preferiti dai gruppi di criminali informatici o un adattamento alle contromisure e alle tecniche di rilevamento, con conseguente passaggio a strumenti più nuovi e meno rilevabili.

• Innovazione costante: la categoria “Altri” degli strumenti dannosi ha mostrato un aumento significativo dei rilevamenti, pari al 30%, e un incremento del 6% del contributo proporzionale. Tale incremento sottolinea l’innovazione e l’adattamento costante tra i criminali informatici, che esplorano nuovi strumenti e tecniche per eludere il rilevamento e raggiungere i loro obiettivi.

Le mutevoli preferenze in termini di utilizzo di strumenti dannosi indica la natura adattiva dei criminali informatici in risposta agli sviluppi nella sicurezza informatica.

Il passaggio a una gamma più ampia di strumenti, come indicato dall’aumento dei rilevamenti nella categoria "Altri", evidenzia la necessità di ricerche continue, di una Threat Intelligence pertinente e di strategie di difesa adattive per mitigare il rischio posto da queste minacce informatiche in costante evoluzione.

Strumenti non dannosi

L’utilizzo di strumenti non dannosi nelle operazioni informatiche dei gruppi APT tra il quarto trimestre 2023 e il primo trimestre 2024 evidenzia un aspetto importante delle minacce informatiche moderne: lo sfruttamento di strumenti di sistema legittimi a fini dolosi. Questa pratica, nota come sfruttamento delle risorse locali (LOTL, Living Off The Land), complica le attività di rilevamento e sottolinea la sofisticazione di questi criminali informatici. Le statistiche rivelano variazioni significative nell’utilizzo di questi strumenti, a riflettere l’importanza strategica nelle operazioni informatiche.

• Versatilità: i rilevamenti di PowerShell sono aumentati in modo significativo (105%), con una varianza del contributo proporzionale pari all’1%. Questa impennata sottolinea la sua versatilità e la sua efficacia nell’automatizzare un’ampia gamma di attività dannose, dalla ricognizione alla distribuzione di payload.

• Focalizzazione sulla manipolazione della rete: i rilevamenti di Netsh e IPRoyal Pawns hanno registrato un aumento significativo, pari al 99% e al 102%, rispettivamente. Questi strumenti sono spesso utilizzati per la configurazione della rete e il traffico proxy, indicando una focalizzazione strategica sulla manipolazione della rete e le tecniche di elusione.

• Automazione su larga scala: Schtasks.exe ha registrato la varianza percentuale maggiore (138%) tra gli strumenti elencati, riflettendo la crescente dipendenza da attività pianificate per la persistenza e l’esecuzione di payload dannosi senza intervento diretto dell’utente.

• Adeguamenti tattici: al contrario, l’utilizzo di Rundll32 e WMIC è aumentato, ma le varianze del loro contributo proporzionale sono diminuite, indicando un cambiamento nelle preferenze tattiche dei gruppi APT nonostante l’utilizzo di questi strumenti.

• Diversificazione degli strumenti: i nostri dati mostrano un aumento importante dell’utilizzi di Cmd, il noto interprete di comandi  sui sistemi Windows, con un incremento dei rilevamenti del 65%. Nonostante il suo utilizzo sia aumentato, la sua varianza del contributo proporzionale è diminuita del 2,5%, suggerendo una più ampia diversificazione nell’utilizzo degli strumenti tra i gruppi di APT.

  I rilevamenti della categoria “Altri”, che rappresenta una gamma di strumenti usati meno di frequente o più specializzati, sono aumentati del 42%. Tuttavia, ha fatto rilevare un calo significativo della varianza del contributo proporzionale (-21%), sottolineando l’espansione dell’arsenale di strumenti a disposizione dei criminali informatici.

L’evoluzione del panorama degli strumenti non dannosi utilizzati dai gruppi APT illustra la complessità di rilevare e neutralizzare le minacce informatiche sofisticate. La selezione strategica e all’applicazione di questi strumenti rivela una profonda conoscenza degli ambienti presi di mira e dei metodi per non eludere il rilevamento.

CONSIGLIO PER IL CISO: le difese di sicurezza informatica devono andare oltre il tradizionale rilevamento del malware e includere l’analisi comportamentale e il rilevamento delle anomalie per contrastare l’uso improprio di strumenti legittimi nelle operazioni informatiche.

I dati raccolti attraverso i sensori globali di Trellix ATLAS sono associati alle informazioni strategiche di report convalidati dal settore e pubblicati dal Trellix Advanced Research Center per consentire ai nostri clienti di identificare i criminali informatici che colpiscono i loro rispettivi settori e utilizzare la nostra analisi comportamentale per rilevare i comportamenti anomali all’interno del loro ambiente.

Conclusione

L’analisi dell’attività delle attività APT tra il quarto trimestre 2023 e il primo trimestre 2024 ha fatto luce sulla natura dinamica e sempre più complessa del panorama delle minacce informatiche. La nostra disamina delle statistiche legate alle origini dei gruppi APT, ai Paesi presi di mira, all’utilizzo di strumenti dannosi e non dannosi rivela numerose importanti tendenze che sottolineano le strategie in evoluzione dei criminali informatici.

I gruppi APT continuano a:

1. mostrare adattabilità e sofisticatezza;

2. utilizzare un mix di strumenti dannosi;

3. sfruttare utilità di sistema legittime per eseguire attività di spionaggio, interrompere le operazioni e rubare informazioni sensibili.

Le significative variazioni osservate nel targeting e nelle tattiche operative di questi gruppi riflettono non solo i loro obiettivi strategici, ma anche la loro risposta agli sviluppi della sicurezza informatica globale e alle misure difensive.

I drastici cambiamenti nelle pratiche di targeting, con alcuni Paesi che hanno registrato un aumento sostanziale delle attività legate alle APT, evidenziano le motivazioni geopolitiche che guidano queste operazioni informatiche. Allo stesso modo, i cambiamenti nell’utilizzo degli strumenti, tra cui un aumento significativo nelle tattiche di sfruttamento delle risorse locali, enfatizza la difficoltà a rilevare e contrastare le minacce APT in un panorama dove le attività legittime e dannose sono sempre più legate tra loro.

Inoltre, la diversificazione nella provenienza dei gruppi APT e l’ampliamento delle loro strategie di targeting indicano una proliferazione globale di funzionalità informatiche e la necessità di un approccio unificato e collaborativo alla sicurezza informatica.

Tattiche, tecniche e procedure (TTP)

I nostri dati di rilevamento suggeriscono che, da quando è tornato operativo a metà gennaio 2024, Volt Typhoon ha costantemente sfruttato una serie di strumenti e funzionalità nativi dei sistemi Windows per eseguire comandi a fini dannosi. Questi strumenti di sfruttamento delle risorse locali permettono un doppio uso, perché si tratta di software e funzioni legittime integrate nel sistema e sono diventati sempre più popolari tra i gruppi affiliati alla Cina, tra cui Volt Typhoon. Netsh.exe è uno di questi strumenti che può essere utilizzato per diversi fini dannosi, come disabilitare le impostazioni del firewall o configurare un tunnel proxy per consentire l’accesso remoto a un host infetto. Ldifde è un altro strumento sfruttato dai criminali informatici di Volt Typhoon per la raccolta di informazioni.

Una volta ottenuto l’accesso a un controller di dominio, gli autori degli attacchi possono utilizzare Ldifde.exe per esportare i dati sensibili o seguire modifiche autorizzate alla directory. Analogamente, i criminali informatici di Volt Typhoon possono utilizzare anche ntdsutil per le loro attività d’attacco. Ntdsutil è uno strumento legittimo che serve per la manutenzione del database; tuttavia, può anche essere sfruttato per creare un’estrazione di Active Directory per raccogliere credenziali ed esfiltrare dati sensibili.

Il gruppo Volt Typhoon ha continuato a utilizzare strumenti open source, come FRP, Impacket e Mimikatz. I dati di telemetria di Trellix hanno anche rilevato che Volt Typhoon ha utilizzato i seguenti strumenti e comandi di sfruttamento delle risorse locali tra febbraio e marzo 2023:

• Comsvcs

• Dnscmd

• Ldifde

• MiniDump 

• Net

• Netsh

• Ntdsutil

• reg

• ping

• PowerShell

• PsExec

In base ai nostri dati di telemetria, i principali strumenti MITRE ATT&CK sfruttati da Volt Typhoon sono i seguenti:

• Accesso iniziale – T1190: Sfruttamento di applicazioni per il pubblico

• Esecuzione – T1106: API nativa

• Persistenza – T1546: Esecuzione attivata dagli eventi

• Aumento dei privilegi – T1546: Esecuzione attivata dagli eventi

• Elusione delle difese – T1070.001:  Cancellazione dei registri eventi di Windows

• Elusione delle difese – T1070: Cancellazione dei file

• Elusione delle difese – T1027: Offuscamento di file o informazioni

• Accesso alle credenziali – T1003.003: NTDS

• Accesso alle credenziali – T1003: Estrazione delle credenziali dal sistema operativo

• Accesso alle credenziali – T1110: Attacco di forza bruta

• Accesso alle credenziali – T1555: Credenziali estratte da archivi di password

• Rilevamento – T1069.002: Gruppi di dominio

• Rilevamento – T1069.001: Gruppi locali

• Rilevamento – T1083: Rilevamento di file e directory

• Rilevamento – T1057: Rilevamento del processo

• Rilevamento – T1010: Rilevamento delle finestre dell’applicazione 

• Acquisizione – T1560: Archiviazione dei dati acquisiti

• Acquisizione – T1560.001: Archiviazione tramite utility

• Comando e controllo – T1090.002: Proxy esterno

• Comando e controllo – T1105: Trasferimento di strumenti all’ingresso

• Comando e controllo – T1132: Codifica dei dati

Lo scorso anno, il nostro report di febbraio aveva identificato LockBit come il gruppo più aggressivo nelle sue richieste di riscatto. Questi criminali informatici utilizzano diverse tecniche per eseguire le loro campagne, incluso lo sfruttamento di vulnerabilità scoperte già nel 2018. Nel corso del 2023, LockBit è rimasto costantemente il gruppo di ransomware più diffuso con il maggior numero di vittime pubblicate sul loro sito di divulgazione. Questo gruppo ha preso principalmente di mira aziende europee e nordamericane in vari settori, colpendo maggiormente il settore dei beni e servizi industriali. Nel 2023, LockBit ha continuato a evolversi e a introdurre nuovi strumenti e metodi al proprio programma ransomware. Tra gli eventi rilevanti, il lavoro di LockBit per sviluppare lo strumento di crittografia LockBit Green basato sul codice trapelato dal ransomware Conti nonché sulle varianti che prendono di mira macOS. Inoltre, il RaaS LockBit ha accolto nel 2023 gli affiliati di altri programmi RaaS come ALPHV e NoEscape, le cui strutture sono state smantellate.

All’indomani di un’importante operazione delle forze dell’ordine abbiamo assistito al frenetico tentativo di LockBit di salvare le apparenze e ripristinare la redditizia operazione. Questo era prevedibile data la pubblicità intorno alle attività criminali di LockBit, ma nel mondo della criminalità informatica è più facile ripristinare un server che anni di fiducia. Resta da vedere quante informazioni siano state ottenute dalle forze dell’ordine sulle operazioni di LockBit, sulla sua immagine pubblica e sui suoi affiliati.

Dopo le azioni delle forze dell’ordine è emerso chiaramente che il mondo dei criminali è un mondo estremamente competitivo. Gli esperti del Trellix Advanced Research Center hanno osservato altri criminali utilizzare la versione divulgata da LockBit Black per rubare ’identità del celebre gruppo per il proprio tornaconto economico.

Impostori o meno, le loro vittime erano reali e tutti questi eventi hanno reso gli ultimi due trimestri degni di un film.

Prospettiva globale sul ransomware

Durante le nostre ricerche sull’attività dei ransomware nel primo trimestre del 2024, abbiamo analizzato diverse fonti: siti di divulgazione, dati di telemetria e report pubblici. Descriviamo brevemente queste categorie.

• Siti di divulgazione: questi siti sono studiati per esporre le vittime ricattate che non hanno pagato il riscatto richiesto. Offrono anche una panoramica dell’attività della banda criminale. Inoltre, è importante notare che i siti di divulgazione non necessariamente riflettono in modo preciso il panorama delle minacce informatiche. Dato che sono gestiti da criminali, non tutte le dichiarazioni sono necessariamente attendibili o corrette. Inoltre, se le bande mantengono la loro parola, le vittime che pagano il riscatto non vengono elencate, fornendo così un quadro incompleto. I dati utilizzati in questo report fanno riferimento alle tendenze generali dei siti di divulgazione e non forniscono un quadro rappresentativo della realtà.

• Dati di telemetria: i dati di telemetria provengono dall’ecosistema di sensori di Trellix e i rilevamenti indicano quando un file, un URL, un indirizzo IP o un altro indicatore viene rilevato da uno dei nostri prodotti e riportato a noi. Ciò non significa che ogni rilevamento sia un’infezione, poiché i clienti testano il rilevamento di certi file per ottimizzare le loro regole interne, e tali dati compaiono nei file delle registrazioni aggregati. Perciò, tali dati sono utili quando si guarda al quadro generale, perché permettono di identificare le tendenze.

• Report pubblici: i report di fornitori e singoli sono stati elaborati dal nostro Advanced Research Center per analizzare le caratteristiche e riassumere le tendenze. Ogni report presenta un bias intrinseco, ad esempio la presenza geografica dominante di un fornitore rispetto a un altro. Questa differenza si tradurrà anche nei tipi di incidenti segnalati. Data la varietà di bias presenti nei report inclusi, non applichiamo un filtro specifico.

Gruppi di ransomware attivi

Molte delle pubblicazioni aggregate dei siti di divulgazione dal primo trimestre 2024 mostrano segni d’attività. A volte queste pubblicazioni sono annunci generici, ma la maggior parte sono “prove” di estorsione o fughe di dati dalle loro vittime. Spesso la stessa vittima è oggetto di più pubblicazioni, il che può distorcere i risultati perché viene conteggiata più di una volta nei dati.

Paesi e regioni colpiti

Basandosi sull’attività costante delle bande di ransomware, possiamo ricavare i rilevamenti di ransomware dai dati della telemetria di Trellix. Gli Stati Uniti generano il maggior numero di rilevamenti, seguiti da Turchia, Hong Kong, India e Brasile.

Dato che il ransomware rappresenta una minaccia per tutti i settori praticamente in ogni area geografica, i parametri di rilevamento sono coerenti con la popolazione di clienti.

Nel trimestre precedente, i dati di telemetria sono piuttosto simili, eccetto l’aumento dei rilevamenti in India e Cina. Non abbiamo indicazioni che si sia svolta una campagna specifica contro queste aree geografiche. Sospettiamo che siano stati effettuati dei test del malware che hanno portato a un maggior numero di rilevamenti in tali aree.

Settori colpiti

L’aggregazione dei dati globali di telemetria per settore mostrano che metà dei rilevamenti provengono dal settore trasporti e spedizioni, e oltre un quarto proviene dal settore dei servizi finanziari. Questi due settori rappresentano oltre il 72% di tutti i rilevamenti, il che ha un senso: la disponibilità dei loro servizi è di estrema importanza. Se un’azienda di trasporti non è in grado di spostare le merci a causa di un attacco ransomware, il loro processo operativo viene interrotto, causando enormi perdite finanziarie. Parimenti, il settore finanziario si basa sulla fiducia, per cui la divulgazione di dati sensibili e/o l’inoperatività dell’azienda a causa di un attacco ransomware, colpisce al cuore le società finanziarie.

Nel quarto trimestre del 2023, i principali settori colpiti erano leggermente diversi, ad eccezione dei primi due posti. Questi due settori sono stati responsabili di una quota ancora maggiore, per un totale del 78% di tutti i rilevamenti nel periodo preso in esame. I rilevamenti associati ai settori della tecnologia e della sanità sono iminuiti nel primo trimestre del 2024 rispetto al trimestre precedente, ma la differenza non può essere attribuita a uno o più eventi specifici.

Strumenti e tecniche

L’ultima delle tre fonti menzionate sono report pubblici. Sulla base dei report raccolti, è possibile riassumere le tecniche MITRE, le linee di comando e gli strumenti associati.

CONSIGLIO PER IL CISO: questi dati possono essere utilizzati dai team della sicurezza per il rilevamento: concentrarsi sulle tecniche  e sugli strumenti più utilizzati, aiuta a prevenire molteplici tipi di attacchi lanciati da diversi criminali, partendo dai più efficaci. Inoltre, gli esercizi di simulazione di attacchi possono concentrarsi su queste tecniche per testare le misure di rilevamento presenti.

La seguente tabella mostra le tecniche utilizzate più frequenti, elencate in ordine decrescente.

Considerato l’obiettivo dei ransomware, non sorprende che le tecniche di tipo Crittografia dei dati e Rilevamento di file e directory siano ai primi posti. Confrontando queste tecniche con quelle più diffuse nel quarto trimestre del 2023, si nota che la maggior parte delle tecniche in cima alla classifica sono simili, anche se la loro posizione specifica potrebbe differire.

Come il modus operandi delle minacce APT, i criminali informatici continuano a sfruttare strumenti legittimi a fini criminosi. Gli strumenti utilizzati influenzano le tecniche osservate, perché sono un mezzo per raggiungere un fine (in questo caso è una tecnica). Per esempio, PowerShell e Windows Command Shell sono spesso utilizzati per eseguire comandi aggiuntivi sul sistema, come la rimozione di copie “shadow”, una strategia più comunemente associata alla tecnica di Inibizione del ripristino di sistema. Questo è anche il motivo per cui sono gli strumenti più utilizzati, come mostrato nell’immagine sottostante.

L’utilizzo di VSSAdmin, BCDEdit e wevtutil indica che il ransomware si assicura che il sistema della vittima non possa tornare allo stato normale precedente all’attacco. L’utilizzo dello strumento reg mostra le modifiche apportate al Registro, che possono essere fatte per diversi motivi. I malware spesso utilizzano il Registro per stabilire una persistenza, ma per i ransomware non è così importante, poiché non ha alcuno scopo una volta terminata la crittografia. Piuttosto, può alterare altri parametri, per autorizzare alcune azioni che non sarebbero solitamente possibili. Rundll32 viene spesso utilizzato per caricare e eseguire una DLL, ma spesso è anche l’obiettivo di un’iniezione di processo.

Proprio come nel trimestre precedente a quello sopra citato, PowerShell e CMD sono in cima all’elenco esattamente per lo stesso motivo. Sono presenti anche VSSAdmin e BCDEdit, sebbene wevtutil (Windows Event Log Utility) non sia presente nell’elenco dei principali strumenti. Dato il basso numero di occorrenze degli strumenti citati, con la frequenza più alta di 13 in tutti i trimestri, non sorprende che non tutte le campagne utilizzino gli stessi strumenti. Un leggero scostamento può portare all’esclusione di tali strumenti.

Campagna di gennaio che utilizza lo strumento Terminator di Spyboy

Una tecnica d’attacco comune, definita BYOVD (Bring Your Own Vulnerable Driver), consiste nello sfruttare driver vulnerabili per ottenere l’esecuzione di codice con l’elevazione dei privilegi.

Un esempio di questo metodo è lo strumento di disattivazione di EDR “Terminator”, sviluppato dal criminale informatico Spyboy. Lo strumento Terminator sfrutta un driver Windows legittimo ma vulnerabile che appartiene allo strumento antimalware Zemana per eseguire codice arbitrario dal kernel Windows sfruttando probabilmente la vulnerabilità CVE-2021-31728. Terminator è comparso online a metà del 2023 e Trellix ha pubblicato un articolo dettagliato sul suo centro informazioni in merito ai prodotti interessati, disponibile qui.

Dall’11 al 17 gennaio 2024, il Trellix Advanced Research Center ha rilevato una serie insolita di rilevamenti dello strumento Terminator di Spyboy nei dati di telemetria di Trellix, che sembra indicare una nuova campagna. Durante questi 6 giorni, la campagna Terminator ha avuto un picco per tre giorni ed è stata rilevata più volte in un unico ente della pubblica amministrazione, in una azienda di pubblica utilità nazionale e in una società di comunicazioni satellitari. Data la specificità degli obiettivi, Trellix stima con un elevato livello di fiducia che l’attacco sia legato al conflitto russo-ucraino.

I 3 settori più colpiti nell’attacco volto a disattivare le soluzioni EDR di gennaio:

Moltiplicazione degli strumenti di disattivazione dell’EDR

All’inizio del 2023, AuKill, uno strumento con uno scopo simile era stato descritto da Sophos. Utilizzava, anche lui, un driver vulnerabile (BYOVD). I driver utilizzati da Terminator  e AuKill sono diversi, ma sono entrambi innocui. Per contro,in alcune campagne nel 2022 strumenti simili avevano utilizzato driver dannosi personalizzati che dovevano essere caricati.

L’uso improprio di driver legittimi per tali attacchi li rende più difficili da rilevare e coincide con il già citato utilizzo di LOLBin. Sebbene un codice binario e un driver siano tecnicamente diversi, l’intento e la motivazione sono simili, se non identici. Quando si parla dell’utilizzo di un driver legittimo, ricordiamo HermeticWiper apparso nel 2022. In quel caso, il driver è stato utilizzato per cancellare i dati di una macchina, piuttosto che disabilitare l’antivirus. Un altro punto in comune tra lo strumento Terminator di cui sopra e HermeticWiper è che sono entrambi attribuiti a un criminale informatico filorusso.

Abbiamo osservato anche un esempio dell’utilizzo della rete Discord per la distribuzione di malware presso uno dei nostri clienti in America Latina. Il nostro team ha rilevato che Discord continua a essere utilizzato per la distribuzione di malware come parte degli attacchi.

CONSIGLIO PER IL CISO: è assolutamente imperativo che ogni SOC monitori attentamente le proprie soluzioni EDR. È necessario impostare avvisi e registrazioni in modo che se gli strumenti EDR vengono disattivati, il SOC ne venga immediatamente informato e possa intraprendere le azioni appropriate. La disattivazione degli strumenti EDR può essere un indicatore di manomissione e agire rapidamente è fondamentale per limitare l’accesso dell’autore dell’attacco alla rete. È inoltre fondamentale utilizzare una strategia di difesa in profondità che permette di fare ricorso ad altri strumenti, come la piattaforma NDR (Network Detection and Response), per rilevare potenziali incidenti. e agire rapidamente è fondamentale per limitare l'accesso dell’autore dell’attacco alla rete.

Phishing delle imposte

Quando si parla di imposte fiscali, gli attacchi di phishing sono particolarmente preoccupanti. I truffatori si fingono agenzie governative, enti fiscali o società che offrono servizi di assistenza fiscale per spingere le persone a divulgare le proprie informazioni personali. I motivi sono molteplici: un debito di imposte arretrate, dichiarazioni dei redditi non presentate o il diritto a un rimborso fiscale. Il loro obiettivo finale è ottenere il tuo codice fiscale, i dettagli del tuo conto bancario o altri dati preziosi. L’email include link che sembrano portare su siti web della pubblica amministrazione o dell’Agenzia delle entrate ma che in realtà reindirizzano le vittime su siti fraudolenti studiati per rubare i dati.

Nel primo trimestre 2024, Trellix ha inoltre osservato un aumento delle email di questo tipo che sembravano provenire dall’Agenzia delle entrate australiana e le ha individuate con successo.

Di seguito un esempio della campagna in cui si evince chiaramente che gli autori degli attacchi sollecitano con urgenza a fare clic sul link relativo al rimborso fiscale.

Il 31 gennaio 2024, xatab ha offerto 2.000 dollari per il suo progetto ‘ChatGPT in Jabber’ sul forum XSS. Sulla base del recente reclamo XSS sollevato dal criminale informatico germans che aveva creato il bot richiesto ma era stato inizialmente ignorato da xatab, sembra che germans abbia alla fine accettato di sviluppare un bot per 1.500 dollari. Creato per i server Jabber dei forum Exploit (@exploit[.]im) e XSS (@thesecure[.]biz) il bot è stato pubblicato sui forum Darknet Exploit e XSS da xatab, presumibilmente per testarlo e conoscere il parere dei membri del forum. Il bot potrebbe essere basato sul progetto xmppgpt.

Nei messaggi pubblicati sui forum Exploit e XSS, l’autore dell’attacco xatab si presenta come un gruppo APT (noto in certi ambienti come esperti in test di penetrazione) interessato ad assumere un broker di accessi aziendali per gli Stati Uniti, Regno Unito, Canada e Australia al fine di una proficua collaborazione. Ha offerto il 20% dei ricavi generati da ogni accesso e ha depositato un bitcoin su entrambi i forum, Exploit e XSS, per dimostrare la serietà della sua offerta.

Fornendo uno strumento ChatGPT 4.0 gratuitamente alla comunità di criminali informatici xatab ottiene due cose:

1. Gioca un ruolo di catalizzatore e facilitatore, desideroso di aiutare i criminali informatici a innovare e a adottare l’IA generativa nelle loro operazioni.

2. Tentare di creare una base/vivaio di conoscenze di IA generativa per trarre vantaggio dalle conoscenze di altri criminali informatici o addirittura appropriarsi delle loro idee e dei loro strumenti innovativi.

Trellix ha testato il progetto “ChatGPT in Jabber” utilizzando le istruzioni fornite, e sembra che funzioni come previsto dal criminale informatico.

Integrazione dell’IA generativa negli infostealer

Il 21 febbraio 2024, il criminale informatico MetaStealer ha pubblicizzato una nuova versione migliorata di MetaStealer sul forum XSS. MetaStealer è un infostealer (strumento di esfiltrazione delle informazioni) apparso per la prima volta nel 2021, che si ritiene sia derivato dal famoso Redline. Sono state osservate diverse versioni di MetaStealer nell’ambiente reale, tuttavia la versione recente individuata da Trellix ha una funzione basata sull’IA generativa per evitare il rilevamento.

Nella schermata qui di seguito, il testo arancione al punto 35) si traduce come segue: "Firme uniche vengono generate per ogni build. Poiché viene utilizzata l’IA, la build elude il rilevamento per un periodo di tempo più lungo". Ciò suggerisce che gli sviluppatori di MetaStealer hanno incorporato una nuova funzionalità basata sull’IA generativa nel loro strumento che consente loro di creare build uniche di MetaStealer per eludere il rilevamento da parte delle soluzioni antivirus e EDR per un periodo di tempo più lungo rispetto a prima.

Un altro esempio è un infostealer consolidato denominato LummaStealer. A partire dall’agosto 2023, il team LummaStealer testa una funzione basata sull’IA che permette agli utenti di questo infostealer di rilevare i bot nell’elenco dei registri. Il sistema basato sull’IA incorporato in LummaStealer è una rete neurale personalizzata, addestrata a rilevare se un registro utente sospetto è un bot o meno. LummaStealer utilizza un’etichetta AI!Bot. per categorizzare il registro rilevato come bot. La variabile il cui raggio d’azione sembra essere compreso tra 0 e 100, rappresenta la certezza del rilevamento di un bot:

LummaStealer ha avvisato i suoi utenti che la rete neurale è ancora in fase di addestramento e che sarà necessario del tempo per migliorare la precisione del rilevamento. Inoltre, nel gennaio 2024, LummaStealer ha avvisato di aver disabilitato la funzione basata sull’IA generativa per impostazione predefinita perché rallenta le prestazioni di esecuzione di LummaStealer.

Progetto “Telegram Pro Poster”

All’inizio di marzo 2024, il criminale informatico pepe ha pubblicato il suo progetto “Telegram Pro Poster” sul forum XSS come parte di una gara clandestina di strumenti/software dannosi. Telegram Pro Poster è un bot destinato “all’automazione avanzata dei messaggi Telegram”. Questo bot sviluppato con Python permette agli utenti di gestire molteplici (una quantità illimitata di) canali Telegram in modo autonomo, copiando automaticamente i post dai canali Telegram “distributori” sui canali di destinazione. Tra le numerose funzionalità di filtraggio dei messaggi, questo bot ha due funzioni di IA generativa integrate per la traduzione dei messaggi Telegram e la parafrasi di un determinato messaggio utilizzando ChatGPT.

Trellix ha ottenuto il codice sorgente di Telegram Pro Poster e identificato i seguenti segmenti di codice, responsabili della traduzione dei messaggi copiati dai canali “distributori” tramite l’API di ChatGPT nelle otto lingue indicate prima di inviarli ai canali Telegram di destinazione:

La seconda funzione, volta a personalizzare in modo unico il messaggio, è disabilitata per impostazione predefinita. Tuttavia, quando è attiva utilizza OPEN_AI_KEY per richiedere a ChatGPT di parafrasare il testo dato nella lingua desiderata e aggiungere opzionalmente un’emoji.

I commenti della comunità XSS di criminali informatici sta già condividendo riscontri positivi sul “progetto Telegram Pro Poster”, affermando che è un progetto interessante e che in mani capaci questo strumento sarà sicuramente utile. Su un thread del forum XSS, un altro criminale informatico ha indicato che questo bot era già stato adottato da diversi canali Telegram.

Conclusione

La corsa è iniziata

La Threat Intelligence operativa fornisce informazioni sulla natura, l’intento e i periodi di attività di minacce informatiche specifiche. È più dettagliata e ricca di contesto rispetto alla Threat Intelligence tattica, poiché include informazioni sulle tattiche, tecniche e procedure (TTP) dei criminali informatici.

Le aziende possono utilizzare questa Threat Intelligence operativa per comprendere il contesto più ampio degli attacchi informatici, come le motivazioni alla base o i metodi utilizzati, aiutando i team della sicurezza ad anticipare e prepararsi ai tipi di attacchi specifici.

Lavorando con i clienti, so che l’obiettivo più importante di ogni CISO è limitare i rischi per la propria azienda. L’utilizzo della Threat Intelligence operativa è un modo tangibile per limitare quel rischio poiché permette ai CISO e ai loro team SecOps di anticipare e porre le basi necessarie. Permette loro di identificare le lacune nelle loro misure di sicurezza sull’intera superficie d’attacco dell’azienda e di entrare nella mente dei loro avversari, per cercare di metterli fuori strada.

Condividiamo la nostra Threat Intelligence per fornirti le informazioni oggettive di cui hai bisogno per le decisioni più importanti che dovrai prendere. Il nostro obiettivo è aiutarti a migliorare considerevolmente le tue difese informatiche e mantenere un vantaggio sui criminali informatici.

Partiamo!

Ashok Banerjee
Chief Technologist, Trellix