Mentre le attenzioni del mondo sono rivolte a gruppi di hacker ben noti, una minaccia meno conosciuta si muove nell’ombra. Stiamo parlando di APT33, un gruppo di hacker con potenziali capacità distruttive, operativo dal 2013 e sospettato di lavorare per il governo iraniano. Questo gruppo si è dimostrato molto abile nelle operazioni di spionaggio cibernetico e nonostante non sia ampiamente conosciuto come altri, il suo potenziale distruttivo è notevole.
APT33: obiettivi e motivazioni
APT33 ha preso di mira organizzazioni di diversi settori, tra cui aviazione, difesa, istruzione, energia, finanza, governo, sanità, alta tecnologia, produzione, media, petrochimico e altri. Queste organizzazioni hanno sede negli Stati Uniti, Arabia Saudita e Corea del Sud. In particolare, APT33 ha mostrato un forte interesse per le organizzazioni del settore dell’aviazione, sia militare che commerciale, e per quelle del settore energetico con legami con la produzione petrolchimica.
Gli strumenti di APT33
Il gruppo APT33 utilizza una serie di strumenti sofisticati per portare avanti le sue operazioni, tra cui AutoIt backdoor, DarkComet, DistTrack, EmpireProject, Filerase, JuicyPotato, LaZagne, Mimikatz, NanoCore RAT, NetWire RC, PoshC2, PowerBand, PowerSploit, POWERTON, PsList, PupyRAT, QuasarRAT, RemcosRAT, Ruler, SHAPESHIFT, StoneDrill, TURNEDUP e Living off the Land.
Queste scoperte sottolineano l’importanza di rimanere vigili di fronte alle minacce cibernetiche in continua evoluzione. La sicurezza delle nostre reti e dei nostri dati non è mai stata così importante, e il gruppo APT33 è un esempio eloquente del livello di pericolo che queste minacce possono rappresentare.
Dagli USA all’Arabia Saudita: concorrenza sleale nel settore petrolifero
Elfin (o APT33), gruppo di spionaggio attivo dal 2015/2016, ha attaccato oltre 50 organizzazioni in Arabia Saudita, Stati Uniti e altri paesi negli ultimi tre anni. Elfin si concentra su siti web vulnerabili, usando le informazioni ricavate per individuare potenziali obiettivi o creare infrastrutture di comando e controllo. Tra i settori colpiti ci sono ricerca, chimica, ingegneria, produzione, consulenza, finanza, telecomunicazioni e altri.
Nonostante la forte concentrazione sugli obiettivi sauditi (42% degli attacchi), Elfin ha anche attaccato 18 organizzazioni negli Stati Uniti, tra cui diverse aziende Fortune 500, spaziando in vari settori. In alcuni casi, gli attacchi sembrano essere stati condotti per realizzare attacchi alla catena di approvvigionamento.
Elfin è noto per sfruttare le vulnerabilità, come dimostrato da un attacco di febbraio 2019, in cui ha tentato di sfruttare una vulnerabilità conosciuta (CVE-2018-20250) nel software di archiviazione WinRAR.
Il gruppo Elfin ha attirato l’attenzione nel dicembre 2018 quando è stato collegato a una nuova ondata di attacchi Shamoon. Tuttavia, Symantec non ha trovato ulteriori prove per suggerire che Elfin fosse responsabile di questi attacchi.
Elfin utilizza un vasto assortimento di strumenti nei suoi attacchi, inclusi malware personalizzati, malware di uso comune e strumenti di hacking open source. Tra gli strumenti personalizzati utilizzati dal gruppo si segnalano Notestuk, Stonedrill e un backdoor scritto in AutoIt.
Elfin rappresenta uno dei gruppi più attivi attualmente operanti in Medio Oriente, dimostrando una notevole flessibilità tattica e l’utilizzo di un ampio spettro di strumenti per compromettere le sue vittime.
Luglio 2019: vulnerabilità Outlook utilizzata per installare malware su reti governative
US Cyber Command ha emesso un allarme su Twitter riguardo attori di minaccia che sfruttano una vulnerabilità di Outlook per infiltrare malware nelle reti governative. La vulnerabilità, denominata CVE-2017-11774, è un bug di sicurezza che Microsoft ha risolto nel 2017.
Il bug, scoperto dai ricercatori di SensePost, consente a un attore di minaccia di eludere il sandbox di Outlook e eseguire codice malevolo sul sistema operativo sottostante. Questa vulnerabilità è stata precedentemente sfruttata da hacker iraniani, conosciuti come APT33 o Elfin, noti per lo sviluppo del malware di cancellazione del disco Shamoon.
Il gruppo APT33 ha utilizzato questa vulnerabilità per installare backdoor sui server web e inviare l’exploit CVE-2017-11774 nelle caselle di posta degli utenti per infettare i loro sistemi con malware. Una volta ottenute le credenziali legittime, gli attori di minaccia identificano Outlook Web Access (OWA) o Office 365 non protetti da autenticazione multi-fattore, sfruttando le credenziali rubate e uno strumento come RULER per consegnare l’exploit.
I campioni di malware condivisi da US Cyber Command sembrano essere collegati all’attività di Shamoon, risalente al gennaio 2017. Tre dei cinque campioni di malware sono strumenti utilizzati per la manipolazione di server web sfruttati, mentre gli altri due sono downloader che utilizzano PowerShell per caricare il PUPY RAT, probabilmente su sistemi infettati.
L’account Twitter di US Cyber Command non emette allarmi su squadre di hacker motivate finanziariamente che prendono di mira gli Stati Uniti, ma si concentra solo sui nemici dello stato. Gli attacchi osservati oggi dall’agenzia sono collegati a vecchi campioni di malware APT33, probabilmente utilizzati in nuovi attacchi contro entità statunitensi.
L’allerta di US Cyber Command arriva dopo che Symantec ha avvertito di un aumento dell’attività da parte di APT33 nel marzo scorso. Inoltre, due settimane fa, la CISA, l’agenzia di sicurezza informatica del Dipartimento della Sicurezza Interna, ha emesso un avviso simile riguardo un aumento dell’attività da parte degli attori di minaccia iraniani, e in particolare sull’uso del malware di cancellazione del disco come Shamoon, l’arma cibernetica principale di APT33.
Questo è la prima volta che US Cyber Command ha condiviso malware non russo tramite il suo account Twitter. L’agenzia ha iniziato a pubblicare campioni di malware su VirusTotal e ad emettere avvisi Twitter lo scorso autunno, ritenendolo un modo più veloce di diffondere allarmi di sicurezza sugli attacchi informatici in corso e mettendo in guardia il settore privato statunitense.
Il pallino per le aziende petrolifere continua
Il gruppo di minacce noto come APT33, famoso per i suoi attacchi aggressivi nei confronti dell’industria petrolifera e dell’aviazione, è stato scoperto mentre utilizza una dozzina di server di comando e controllo (C&C) attivi per campagne malware estremamente mirate. Queste campagne sono dirette contro aziende nel Medio Oriente, negli Stati Uniti e in Asia. Il gruppo usa più livelli di offuscamento per gestire questi server C&C.
Il malware che utilizzano è piuttosto basico e viene usato principalmente per scaricare ed eseguire ulteriori malware. Alcune delle vittime degli attacchi di APT33 nel 2019 includono una società privata americana che offre servizi legati alla sicurezza nazionale, vittime connesse da una università e un college negli Stati Uniti, una vittima molto probabilmente legata all’esercito statunitense e diverse vittime in Medio Oriente e in Asia.
APT33 ha anche eseguito attacchi più aggressivi negli ultimi anni. Ad esempio, per almeno due anni il gruppo ha usato il sito web privato di un politico europeo di alto livello (membro del comitato di difesa del suo paese) per inviare email di spear phishing a società che fanno parte della catena di approvvigionamento dei prodotti petroliferi.
Questi attacchi hanno probabilmente risultato in infezioni concrete nell’industria petrolifera. Ad esempio, nell’autunno del 2018, abbiamo osservato comunicazioni tra una società petrolifera con sede nel Regno Unito e un server C&C di APT33. Un’altra compagnia petrolifera europea ha subito un’infezione di malware correlata ad APT33 su uno dei suoi server in India per almeno 3 settimane nel novembre e dicembre 2018.
Inoltre, APT33 ha usato il suo network VPN privato per accedere a siti web di società di test di penetrazione, webmail, siti web su vulnerabilità e siti web correlati alle criptovalute, così come per leggere blog e forum di hacker. APT33 ha anche un chiaro interesse per i siti web che si specializzano nel reclutamento di dipendenti nell’industria petrolifera e del gas.