La divisione di ricerca sulla sicurezza informatica di Google ha portato alla luce i dettagli dei broker di accesso iniziale (IAB) che lavorano per conto di alcune delle più grandi bande di ransomware esistenti.
Gli IAB sono gruppi di criminali informatici che sfruttano le vulnerabilità nelle organizzazioni e vendono l’accesso al miglior offerente in modo da poter lanciare attacchi informatici significativi senza condurre il lavoro iniziale.
Il Threat Analysis Group (TAG) ha osservato lo IAB EXOTIC LILY che opera almeno dal settembre 2021 e ha fornito l’accesso alle aziende a soggetti del calibro di Conti e FIN12 in modo che possano lanciare redditizi attacchi ransomware.
Questi tipi di gruppi IAB operano da tempo, ma hanno guadagnato popolarità negli ultimi anni e si stanno avvicinando al picco della loro maturità operativa, secondo recenti rapporti.
FIN12 e l’ormai spento Conti sono tra i più famigerati operatori di ransomware degli ultimi tempi. Entrambi hanno preso di mira indiscriminatamente le organizzazioni per un guadagno finanziario e, a differenza di altri gruppi, mostrano pochi limiti etici, avendo entrambi preso di mira ospedali e organizzazioni sanitarie in passato.
Il gruppo ben fornito EXOTIC LILY, all’apice della sua attività, si dice abbia preso di mira più di 5.000 email al giorno in 650 organizzazioni globali, cercando di sfruttare una vulnerabilità zero-day di Microsoft (CVE-2021-40444) per ottenere l’accesso iniziale.
Il TAG di Google ha detto che EXOTIC LILY ha mostrato tecniche di attacco mirate come lo spoofing di aziende e dipendenti come mezzo per ottenere la fiducia attraverso campagne e-mail, ma “in modo piuttosto unico” ha dedicato una notevole quantità di tempo ad ogni obiettivo nel tentativo di costruire la fiducia.
Come le bande di ransomware su larga scala per cui lavora, EXOTIC LILY è composto da molti individui in modo da poter dedicare tempo ad ogni obiettivo. TAG ha detto che il “livello di interazione umana è piuttosto insolito per i gruppi di criminalità informatica focalizzati su operazioni su larga scala“.
TAG ha dichiarato che EXOTIC LILY personalizza i modelli di proposte commerciali quando contatta per la prima volta le organizzazioni, piuttosto che fare affidamento su uno solo, una tecnica che richiede più sforzo di quello tipicamente osservato con tali gruppi.
Lo IAB ha anche gestito ulteriori comunicazioni con le vittime al fine di costruire la fiducia inviando un link a un carico utile dannoso utilizzando servizi legittimi di file-sharing.
Servizi come WeTransfer, TransferNow e OneDrive sono stati utilizzati per consegnare il payload che sfruttava lo zero-day di Microsoft, un’altra tecnica utilizzata dagli aggressori per eludere i meccanismi di rilevamento, ha detto TAG.
La catena di attacco di EXOTIC LILY secondo l’analisi di TAG può essere suddivisa in pochi passi:
- Registrare [nome azienda legittima].us per imitare [nome azienda legittima].com
- Creare l’indirizzo e-mail “employee@[nome azienda legittima].us”.
- Utilizzare OSINT o un modulo di contatto del sito web per acquisire l’indirizzo e-mail del bersaglio, inviare un’e-mail di phishing
- Stabilire la fiducia con ulteriori discussioni o programmando un incontro
- Condividere il carico utile con l’obiettivo
- Inviare una notifica di condivisione dei file
Il gruppo ha inizialmente utilizzato falsi profili online con facce generate dall’intelligenza artificiale per impersonare i dipendenti di una società fasulla, ma in seguito ha fatto ricorso a rubare i dati dei dipendenti autentici e raccogliere altri dati da database come CrunchBase e RocketReach.
L’uso di un servizio legittimo di file-sharing è diventato un metodo potente per evitare il rilevamento, in quanto non solo si tratta di aziende familiari, ma l’obiettivo riceve anche una notifica di file-sharing genuino da quel provider per aumentare l’autenticità percepita.
EXOTIC LILY ha inizialmente utilizzato documenti contenenti un exploit per uno zero-day di Microsoft, ma in seguito ha cambiato strategia consegnando file ISO con DLL BazarLoader nascoste un metodo di attacco senza file comune anche ai gruppi ransomware.
I file di collegamento di Microsoft, noti come collegamenti LNK, sono stati anche consegnati in questi file ISO, con campioni che indicano che erano fatti su misura da EXOTIC LILY piuttosto che kit di exploit off-the-shelf.
