Il gruppo Agrius, conosciuto anche come DEV-0227, BlackShadow, SharpBoys, AMERICIUM e Pink Sandstorm, è un’entità di minaccia avanzata (APT) collegata all’Iran, attiva dal 2020. Si è concentrata principalmente su attacchi di sabotaggio, distruzione e furto di informazioni, principalmente in Israele, Hong Kong e Sud Africa.

Una delle sue operazioni più significative si è verificata nel febbraio 2022, quando Agrius ha condotto un attacco alla catena di fornitura contro sviluppatori di software israeliani per diffondere un nuovo malware distruttivo chiamato “Fantasy”. Questo malware è stato utilizzato per attaccare aziende nel settore dei diamanti in Israele, Sud Africa e Hong Kong.

Fantasy è un wiper, un tipo di malware progettato per cancellare i dati di un sistema infetto. Si basa sul codice di un altro wiper noto come “Apostle”, precedentemente utilizzato da Agrius, ma a differenza di Apostle, Fantasy non tenta di mascherarsi come ransomware e inizia immediatamente a cancellare i dati.

Agrius ha utilizzato un altro strumento, chiamato “Sandals”, per diffondere e attivare Fantasy sui sistemi infetti. Sandals è progettato per connettersi ai sistemi sulla stessa rete tramite SMB, scrivere un file batch su disco che esegue il wiper Fantasy e quindi eseguire quel file batch tramite PsExec.

Il gruppo Agrius ha dimostrato un focus sui sistemi di aziende di vari settori, come le risorse umane, consulenze IT e il settore dei diamanti. Con la combinazione di tecniche avanzate, tra cui attacchi alla catena di fornitura e l’uso di wipers, Agrius rappresenta una minaccia significativa per le organizzazioni nei paesi bersagliati.

APT42, identificato per la prima volta nel 2015, è un gruppo di cyber-spionaggio sponsorizzato dallo stato iraniano, le cui operazioni sono dirette all’acquisizione di informazioni e alla sorveglianza di individui e organizzazioni di interesse strategico per il governo iraniano. Secondo Mandiant, società di sicurezza informatica leader nel settore, è molto probabile che APT42 operi per conto dell’Organizzazione di Intelligence del Corpo delle Guardie della Rivoluzione Islamica (IRGC-IO), basandosi su modelli di targeting che si allineano con i mandati e le priorità operative dell’organizzazione.

Le operazioni di APT42

APT42 si distingue per operazioni altamente mirate di spear phishing e sorveglianza contro individui e organizzazioni di interesse strategico per l’Iran. Le operazioni del gruppo, progettate per costruire fiducia e rapporto con le loro vittime, hanno incluso l’accesso agli account email personali e aziendali di funzionari governativi, ex responsabili politici iraniani o figure politiche, membri della diaspora iraniana e gruppi di opposizione, giornalisti e accademici che si occupano di ricerca sull’Iran.

Dopo aver ottenuto l’accesso, il gruppo ha distribuito malware mobile in grado di tracciare la posizione delle vittime, registrare conversazioni telefoniche, accedere a video e immagini, e estrarre intere caselle di posta SMS.

La versatilità di APT42

APT42 ha dimostrato la capacità di modificare il suo focus operativo man mano che le priorità dell’Iran evolvono nel tempo. È previsto che APT42 continuerà a condurre operazioni di cyber-spionaggio a sostegno delle priorità strategiche dell’Iran a lungo termine, basandosi sulla loro estesa storia operativa e insensibilità alla segnalazione pubblica e alle interruzioni dell’infrastruttura.

Il report su APT42

Il rapporto completo pubblicato copre le attività recenti e storiche di APT42 risalenti almeno al 2015, le tattiche, le tecniche e le procedure del gruppo, i modelli di targeting, e chiarisce i collegamenti storici con Magic Hound, APT 35, Cobalt Illusion, Charming Kitten. APT42 coincide parzialmente con le segnalazioni pubbliche su ITG18.

Settori e Paesi Osservati

Settori osservati: Educazione, Governo, Sanità, Manifatturiero, Media, Organizzazioni non profit, Farmaceutico e Servizi legali e professionali.

Paesi: Australia, Bulgaria, Iran, Italia, Malesia, Norvegia, UAE, Regno Unito, Ucraina, USA.

Strumenti utilizzati

BROKEYOLK, CHAIRSMACK, DOSTEALER, Ghambar, MAGICDROP, PINEFLOWER, POWERPOST, SILENTUPLOADER, TABBYCAT, TAMECAT, VBREVSHELL, VINETHORN.

L’Attacco dello Stato Iraniano su Attivisti, Giornalisti e Politici

APT42, gruppo di cyber-spionaggio supportato dal governo iraniano, si è dimostrato responsabile di una serie di attacchi informatici contro almeno 20 individui di alto profilo, tra cui attivisti, giornalisti, ricercatori, accademici, diplomatici e politici operanti su temi del Medio Oriente. Questo attacco in corso di ingegneria sociale e phishing è stato rivolto a due membri dello staff di Human Rights Watch (HRW).

Dopo un’indagine approfondita, HRW ha attribuito l’attacco di phishing all’APT42, anche conosciuto come Charming Kitten, un’entità correlata al governo iraniano. L’analisi tecnica, condotta insieme al Security Lab di Amnesty International, ha identificato ulteriori 18 vittime che sono state prese di mira nella stessa campagna.

I cyber-attaccanti hanno ottenuto accesso alle e-mail, ai dischi di archiviazione cloud, ai calendari e ai contatti delle vittime. Tra le vittime note compromesse vi è un corrispondente per un importante giornale statunitense, un difensore dei diritti delle donne nel Golfo e un consulente per Refugees International con sede in Libano.

Le tecniche adottate dagli hacker iraniani sono sofisticate: utilizzano l’ingegneria sociale e le tecniche di raccolta delle credenziali per accedere a informazioni sensibili e contatti. Questo aumenta significativamente i rischi per giornalisti e difensori dei diritti umani sia in Iran che in altre parti della regione.

Le società di sicurezza hanno segnalato diverse campagne di phishing da parte di APT42, rivolte a ricercatori e gruppi della società civile concentrati sul Medio Oriente. Questo gruppo di cyber-attaccanti viene identificato principalmente attraverso schemi di attacco e prove tecniche.

L’indagine ha rivelato anche carenze nelle protezioni di sicurezza di Google per la salvaguardia dei dati dei suoi utenti. Gli individui presi di mira con successo dall’attacco di phishing hanno riferito di non aver notato che i loro account Gmail erano stati compromessi o che era stato avviato un Google Takeout, a causa dell’insufficienza dei messaggi di avviso di sicurezza di Google.

HRW ha esortato Google a rafforzare tempestivamente i suoi avvisi di sicurezza dell’account Gmail per proteggere meglio giornalisti, difensori dei diritti umani e gli utenti più a rischio dagli attacchi.

Mentre le attenzioni del mondo sono rivolte a gruppi di hacker ben noti, una minaccia meno conosciuta si muove nell’ombra. Stiamo parlando di APT33, un gruppo di hacker con potenziali capacità distruttive, operativo dal 2013 e sospettato di lavorare per il governo iraniano. Questo gruppo si è dimostrato molto abile nelle operazioni di spionaggio cibernetico e nonostante non sia ampiamente conosciuto come altri, il suo potenziale distruttivo è notevole.

APT33: obiettivi e motivazioni

APT33 ha preso di mira organizzazioni di diversi settori, tra cui aviazione, difesa, istruzione, energia, finanza, governo, sanità, alta tecnologia, produzione, media, petrochimico e altri. Queste organizzazioni hanno sede negli Stati Uniti, Arabia Saudita e Corea del Sud. In particolare, APT33 ha mostrato un forte interesse per le organizzazioni del settore dell’aviazione, sia militare che commerciale, e per quelle del settore energetico con legami con la produzione petrolchimica.

Gli strumenti di APT33

Il gruppo APT33 utilizza una serie di strumenti sofisticati per portare avanti le sue operazioni, tra cui AutoIt backdoor, DarkComet, DistTrack, EmpireProject, Filerase, JuicyPotato, LaZagne, Mimikatz, NanoCore RAT, NetWire RC, PoshC2, PowerBand, PowerSploit, POWERTON, PsList, PupyRAT, QuasarRAT, RemcosRAT, Ruler, SHAPESHIFT, StoneDrill, TURNEDUP e Living off the Land.

Queste scoperte sottolineano l’importanza di rimanere vigili di fronte alle minacce cibernetiche in continua evoluzione. La sicurezza delle nostre reti e dei nostri dati non è mai stata così importante, e il gruppo APT33 è un esempio eloquente del livello di pericolo che queste minacce possono rappresentare.

Dagli USA all’Arabia Saudita: concorrenza sleale nel settore petrolifero

Elfin (o APT33), gruppo di spionaggio attivo dal 2015/2016, ha attaccato oltre 50 organizzazioni in Arabia Saudita, Stati Uniti e altri paesi negli ultimi tre anni. Elfin si concentra su siti web vulnerabili, usando le informazioni ricavate per individuare potenziali obiettivi o creare infrastrutture di comando e controllo. Tra i settori colpiti ci sono ricerca, chimica, ingegneria, produzione, consulenza, finanza, telecomunicazioni e altri.

Nonostante la forte concentrazione sugli obiettivi sauditi (42% degli attacchi), Elfin ha anche attaccato 18 organizzazioni negli Stati Uniti, tra cui diverse aziende Fortune 500, spaziando in vari settori. In alcuni casi, gli attacchi sembrano essere stati condotti per realizzare attacchi alla catena di approvvigionamento.

Elfin è noto per sfruttare le vulnerabilità, come dimostrato da un attacco di febbraio 2019, in cui ha tentato di sfruttare una vulnerabilità conosciuta (CVE-2018-20250) nel software di archiviazione WinRAR.

Il gruppo Elfin ha attirato l’attenzione nel dicembre 2018 quando è stato collegato a una nuova ondata di attacchi Shamoon. Tuttavia, Symantec non ha trovato ulteriori prove per suggerire che Elfin fosse responsabile di questi attacchi.

Elfin utilizza un vasto assortimento di strumenti nei suoi attacchi, inclusi malware personalizzati, malware di uso comune e strumenti di hacking open source. Tra gli strumenti personalizzati utilizzati dal gruppo si segnalano Notestuk, Stonedrill e un backdoor scritto in AutoIt.

Elfin rappresenta uno dei gruppi più attivi attualmente operanti in Medio Oriente, dimostrando una notevole flessibilità tattica e l’utilizzo di un ampio spettro di strumenti per compromettere le sue vittime.

Luglio 2019: vulnerabilità Outlook utilizzata per installare malware su reti governative

US Cyber Command ha emesso un allarme su Twitter riguardo attori di minaccia che sfruttano una vulnerabilità di Outlook per infiltrare malware nelle reti governative. La vulnerabilità, denominata CVE-2017-11774, è un bug di sicurezza che Microsoft ha risolto nel 2017.

Il bug, scoperto dai ricercatori di SensePost, consente a un attore di minaccia di eludere il sandbox di Outlook e eseguire codice malevolo sul sistema operativo sottostante. Questa vulnerabilità è stata precedentemente sfruttata da hacker iraniani, conosciuti come APT33 o Elfin, noti per lo sviluppo del malware di cancellazione del disco Shamoon.

Il gruppo APT33 ha utilizzato questa vulnerabilità per installare backdoor sui server web e inviare l’exploit CVE-2017-11774 nelle caselle di posta degli utenti per infettare i loro sistemi con malware. Una volta ottenute le credenziali legittime, gli attori di minaccia identificano Outlook Web Access (OWA) o Office 365 non protetti da autenticazione multi-fattore, sfruttando le credenziali rubate e uno strumento come RULER per consegnare l’exploit.

I campioni di malware condivisi da US Cyber Command sembrano essere collegati all’attività di Shamoon, risalente al gennaio 2017. Tre dei cinque campioni di malware sono strumenti utilizzati per la manipolazione di server web sfruttati, mentre gli altri due sono downloader che utilizzano PowerShell per caricare il PUPY RAT, probabilmente su sistemi infettati.

L’account Twitter di US Cyber Command non emette allarmi su squadre di hacker motivate finanziariamente che prendono di mira gli Stati Uniti, ma si concentra solo sui nemici dello stato. Gli attacchi osservati oggi dall’agenzia sono collegati a vecchi campioni di malware APT33, probabilmente utilizzati in nuovi attacchi contro entità statunitensi.

L’allerta di US Cyber Command arriva dopo che Symantec ha avvertito di un aumento dell’attività da parte di APT33 nel marzo scorso. Inoltre, due settimane fa, la CISA, l’agenzia di sicurezza informatica del Dipartimento della Sicurezza Interna, ha emesso un avviso simile riguardo un aumento dell’attività da parte degli attori di minaccia iraniani, e in particolare sull’uso del malware di cancellazione del disco come Shamoon, l’arma cibernetica principale di APT33.

Questo è la prima volta che US Cyber Command ha condiviso malware non russo tramite il suo account Twitter. L’agenzia ha iniziato a pubblicare campioni di malware su VirusTotal e ad emettere avvisi Twitter lo scorso autunno, ritenendolo un modo più veloce di diffondere allarmi di sicurezza sugli attacchi informatici in corso e mettendo in guardia il settore privato statunitense.

Il pallino per le aziende petrolifere continua

Il gruppo di minacce noto come APT33, famoso per i suoi attacchi aggressivi nei confronti dell’industria petrolifera e dell’aviazione, è stato scoperto mentre utilizza una dozzina di server di comando e controllo (C&C) attivi per campagne malware estremamente mirate. Queste campagne sono dirette contro aziende nel Medio Oriente, negli Stati Uniti e in Asia. Il gruppo usa più livelli di offuscamento per gestire questi server C&C.

Il malware che utilizzano è piuttosto basico e viene usato principalmente per scaricare ed eseguire ulteriori malware. Alcune delle vittime degli attacchi di APT33 nel 2019 includono una società privata americana che offre servizi legati alla sicurezza nazionale, vittime connesse da una università e un college negli Stati Uniti, una vittima molto probabilmente legata all’esercito statunitense e diverse vittime in Medio Oriente e in Asia.

APT33 ha anche eseguito attacchi più aggressivi negli ultimi anni. Ad esempio, per almeno due anni il gruppo ha usato il sito web privato di un politico europeo di alto livello (membro del comitato di difesa del suo paese) per inviare email di spear phishing a società che fanno parte della catena di approvvigionamento dei prodotti petroliferi.

Questi attacchi hanno probabilmente risultato in infezioni concrete nell’industria petrolifera. Ad esempio, nell’autunno del 2018, abbiamo osservato comunicazioni tra una società petrolifera con sede nel Regno Unito e un server C&C di APT33. Un’altra compagnia petrolifera europea ha subito un’infezione di malware correlata ad APT33 su uno dei suoi server in India per almeno 3 settimane nel novembre e dicembre 2018.

Inoltre, APT33 ha usato il suo network VPN privato per accedere a siti web di società di test di penetrazione, webmail, siti web su vulnerabilità e siti web correlati alle criptovalute, così come per leggere blog e forum di hacker. APT33 ha anche un chiaro interesse per i siti web che si specializzano nel reclutamento di dipendenti nell’industria petrolifera e del gas.