Sicurezza Informatica

Gli aggressori hanno creato un malware personalizzato per lo zero-day di Fortinet

Tempo di lettura: 4 minuti. La backdoor “BoldMove” dimostra un alto livello di conoscenza di FortiOS, secondo i ricercatori di Mandiant, secondo i quali l’attaccante sembra avere sede in Cina.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

1 anno fa

in data

20/01/2023

Livio Varriale

Tempo di lettura: 4 minuti.

I ricercatori che hanno analizzato i dati associati a una vulnerabilità zero-day recentemente rivelata nella tecnologia FortiOS SSL-VPN di Fortinet hanno identificato una nuova e sofisticata backdoor specificamente progettata per funzionare sui firewall FortiGate di Fortinet. Il malware sembra essere opera di un attore di minacce con sede in Cina, impegnato in operazioni di cyberspionaggio che prendono di mira organizzazioni governative e coloro che lavorano con queste organizzazioni. È l’ultimo esempio di avversari provenienti da questo Paese che prendono di mira firewall, IPS, IDS e altre tecnologie rivolte a Internet che le aziende utilizzano per proteggere le loro reti, ha dichiarato Mandiant in un rapporto di questa settimana. I ricercatori della società si sono imbattuti nel malware in un repository pubblico a dicembre e sono riusciti a collegarlo al bug zero-day di Fortinet (CVE-2022-42475) sulla base delle informazioni che Fortinet ha rilasciato nella sua divulgazione iniziale della vulnerabilità. La vulnerabilità consente a un aggressore non autenticato di eseguire codice arbitrario sui sistemi interessati ed è presente in più versioni delle tecnologie FortiOS e FortiProxy di Fortinet. Quando Fortinet ha reso nota la vulnerabilità, l’azienda ha dichiarato di essere a conoscenza di almeno un caso in cui un utente malintenzionato ha sfruttato la falla in modo selvaggio.

Backdoor BoldMove

Mandiant ha dichiarato che il malware che ha scoperto a dicembre – e che sta monitorando come “BoldMove” – è associato allo sfruttamento di CVE-2022-42475. La telemetria disponibile suggerisce che l’attività di exploit associata al malware si è verificata già nell’ottobre 2022. Tra gli obiettivi vi sono un ente governativo in Europa e un fornitore di servizi gestiti in Africa. La backdoor BoldMove, scritta in C, è disponibile in due versioni: una versione Windows e una versione Linux che l’attore della minaccia sembra aver personalizzato per FortiOS, secondo Mandiant. Quando viene eseguita, la versione Linux del malware tenta innanzitutto di connettersi a un server di comando e controllo (C2) codificato. In caso di successo, BoldMove raccoglie informazioni sul sistema su cui è atterrato e le trasmette al C2. Il server C2 trasmette quindi le istruzioni al malware, che termina con l’ottenimento del pieno controllo remoto del dispositivo FortiOS interessato da parte dell’attore della minaccia. Ben Read, direttore delle analisi di cyberspionaggio di Mandiant, afferma che alcune delle funzioni principali del malware, come la capacità di scaricare file aggiuntivi o di aprire una shell inversa, sono abbastanza tipiche di questo tipo di malware. Ma la versione Linux personalizzata di BoldMove include anche capacità di manipolare caratteristiche specifiche di FortOS. “L’implementazione di queste funzionalità dimostra una conoscenza approfondita del funzionamento dei dispositivi Fortinet”, afferma Read. “È inoltre degno di nota il fatto che alcune delle funzioni delle varianti di Linux sembrano essere state riscritte per essere eseguite su dispositivi a bassa potenza”. L’avversario sembra aver compilato la versione Windows di BoldMove nel 2021, o molto prima della versione Linux. Finora Mandiant non ha rilevato alcuna attività di exploit in natura associata a questa versione. “Il campione Windows in nostro possesso è a 32 bit, quindi dovrebbe funzionare sulla maggior parte delle versioni moderne di Windows, ma potrebbe essere compilato per funzionare su macchine a 64 bit”, afferma Read. Tuttavia, non funzionerebbe su un dispositivo Fortinet.

Trucchi tecnici

La nuova campagna di cyberspionaggio e il malware BoldMove che gli aggressori stanno utilizzando per la campagna continuano un modello tra gli attori delle minacce con sede in Cina – e le minacce persistenti avanzate provenienti anche da altre nazioni – per colpire firewall, IPS, IDS e altri dispositivi di sicurezza di rete. Lo sviluppo di exploit per queste tecnologie può essere impegnativo e richiede notevoli risorse e capacità tecniche. Con BoldMove, “gli aggressori non hanno solo sviluppato un exploit, ma anche un malware che dimostra una conoscenza approfondita di sistemi, servizi, registrazioni e formati proprietari non documentati”, ha dichiarato Mandiant. Ma il guadagno per gli aggressori può essere elevato perché un exploit riuscito dà loro ampio accesso a una rete, senza richiedere alcuna interazione da parte dell’utente”, ha aggiunto il fornitore di sicurezza. Sebbene i prodotti di Fortinet siano stati un obiettivo particolarmente popolare in questo senso, gli attori delle minacce hanno preso di mira anche prodotti di altri fornitori, tra cui Pulse Secure VPN, Citrix ADC e SonicWall. Gli attacchi hanno provocato numerosi avvisi da parte dell’FBI, della Cybersecurity and Information Security Agency (CISA) statunitense e di altri enti.

Istruito in FortiOS

Nel frattempo, la settimana scorsa Fortinet stessa ha descritto il malware associato a CVE-2022-42475 come una variante di una backdoor Linux “generica” che l’attore delle minacce ha personalizzato per FortiOS. L’azienda ha dichiarato che la sua analisi ha dimostrato che il file dannoso potrebbe essere stato mascherato come un componente del motore IPS di Fortinet sui sistemi compromessi. Tra le funzionalità più avanzate del malware c’è quella di manipolare la registrazione di FortiOS per evitare il rilevamento, ha dichiarato Fortinet. Il malware è in grado di cercare i registri degli eventi in FortiOS, decomprimerli in memoria e cercare ed eliminare una stringa specifica che gli consenta di ricostruire i registri. Il malware può anche interrompere completamente i processi di registrazione. “La complessità dell’exploit suggerisce che si tratta di un attore avanzato e che è altamente mirato a obiettivi governativi o legati alla pubblica amministrazione”, ha dichiarato Fortinet. Secondo Fortinet, lo sviluppo dell’exploit avrebbe richiesto all’attore della minaccia una “profonda conoscenza” di FortiOS e dell’hardware sottostante. “L’uso di impianti personalizzati dimostra che l’attore possiede capacità avanzate, tra cui il reverse-engineering di varie parti di FortiOS”, ha dichiarato il fornitore.

Argomenti correlati:cybercrime evidenza fortinet malware zeroday

Prossima

Cultura alla cybersicurezza: ecco la cassetta degli attrezzi ENISA per il fai-da-te

Da non perdere

Quante e quali intelligenze artificiali esistono nel mondo?

Prosegui la lettura

Sicurezza Informatica

USA nordcoreani lavorano nell’IT e finanziano armi

Tempo di lettura: 2 minuti. Cinque individui accusati di schemi informatici per finanziare il programma di armi nucleari della Corea del Nord, con conseguenze legali significative. Scopri i dettagli delle accuse e delle sanzioni.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

31 minuti fa

in data

17/05/2024

Livio Varriale

Tempo di lettura: 2 minuti.

Le autorità statunitensi hanno incriminato cinque individui coinvolti in schemi informatici volti a generare entrate per il programma di armi nucleari della Corea del Nord. Questi schemi prevedevano la frode identitaria e l’infiltrazione nei mercati del lavoro statunitensi per ottenere lavori IT remoti. Tra gli arrestati, una cittadina americana, un uomo ucraino e tre cittadini stranieri sono accusati di diverse attività criminali, tra cui frode e riciclaggio di denaro.

Arizona: accusata di aiutare Nordcoreani per lavori IT remoti

Christina Marie Chapman, 49 anni, di Litchfield Park, Arizona, è stata accusata di aver aiutato cittadini nordcoreani a ottenere lavori IT remoti presso oltre 300 aziende statunitensi, generando milioni di dollari per il programma di missili balistici della Corea del Nord.

Dettagli dello schema

Secondo l’accusa federale, Chapman ha raccolto 6,8 milioni di dollari in questo schema, fondi che sono stati incanalati verso il Dipartimento dell’Industria delle Munizioni della Corea del Nord, coinvolto nello sviluppo di missili balistici. Lo schema prevedeva l’uso delle identità di più di 60 persone residenti negli Stati Uniti per ottenere lavori IT per cittadini nordcoreani presso oltre 300 aziende statunitensi.

Metodi utilizzati

Chapman e i suoi co-cospiratori avrebbero utilizzato informazioni personali compromesse per ottenere questi lavori e hanno gestito un “laptop farm” presso una delle sue residenze per far sembrare che i dipendenti nordcoreani lavorassero dagli Stati Uniti. I laptop venivano forniti dai datori di lavoro e i lavoratori utilizzavano proxy e VPN per apparire come se si connettessero da indirizzi IP statunitensi. Chapman riceveva anche gli stipendi dei dipendenti presso la sua abitazione.

Impatto e conseguenze

Questo complotto ha colpito una varietà di settori, tra cui un’importante rete televisiva nazionale, una principale azienda tecnologica della Silicon Valley, un produttore di difesa aerospaziale, un’iconica casa automobilistica americana, una catena di vendita al dettaglio di alta gamma e una delle aziende di media e intrattenimento più riconoscibili al mondo, tutte Fortune 500.

Nicole Argentieri, capo della Divisione Criminale del Dipartimento di Giustizia, ha sottolineato che questi crimini hanno beneficiato il governo nordcoreano, fornendo un flusso di entrate e, in alcuni casi, informazioni proprietarie rubate dai co-cospiratori. Chapman è stata arrestata mercoledì e, se condannata, potrebbe affrontare fino a 97,5 anni di carcere. In un caso correlato, un uomo ucraino, Oleksandr Didenko, è stato accusato di un complotto simile e potrebbe affrontare fino a 67,5 anni di carcere.

Prosegui la lettura

Sicurezza Informatica

Norvegia raccomanda di sostituire le VPN SSL

Tempo di lettura: 2 minuti. Il Centro Nazionale per la Sicurezza Informatica della Norvegia raccomanda di sostituire le VPN SSL con IPsec per prevenire violazioni di sicurezza.

Sostieni l'informazione di Matrice Digitale con un click. Seguici su Google News

Pubblicato

45 minuti fa

in data

17/05/2024

Livio Varriale

Tempo di lettura: 2 minuti.

Il Centro Nazionale per la Sicurezza Informatica della Norvegia (NCSC) ha raccomandato di sostituire le soluzioni SSL VPN/Web VPN con alternative più sicure a causa della continua sfruttamento delle vulnerabilità associate a questi dispositivi di rete.

Raccomandazioni e tempistiche

L’NCSC consiglia alle organizzazioni di completare la transizione entro il 2025, mentre quelle soggette alla “Safety Act” o che operano in infrastrutture critiche dovrebbero adottare alternative più sicure entro la fine del 2024. La raccomandazione principale è di passare a Internet Protocol Security (IPsec) con Internet Key Exchange (IKEv2).

Problemi delle VPN SSL

Le VPN SSL/WebVPN forniscono accesso remoto sicuro utilizzando i protocolli SSL/TLS, creando un “tunnel di crittografia” tra il dispositivo dell’utente e il server VPN. Tuttavia, le implementazioni di SSLVPN non seguono uno standard unico, portando a numerose vulnerabilità sfruttate dai hacker per violare le reti. Esempi recenti includono le vulnerabilità di Fortinet e Cisco sfruttate da gruppi di hacker come Volt Typhoon e le operazioni di ransomware Akira e LockBit.

Vantaggi di IPsec con IKEv2

IPsec con IKEv2 offre maggiore sicurezza crittografando e autenticando ogni pacchetto di dati e riducendo il margine di errore di configurazione rispetto alle soluzioni SSLVPN. Anche se IPsec non è privo di difetti, rappresenta una riduzione significativa della superficie di attacco per incidenti di accesso remoto sicuro.

Misure proposte

Le misure proposte includono:

Riconfigurazione o Sostituzione delle Soluzioni VPN Esistenti: Migrare tutti gli utenti e i sistemi al nuovo protocollo.
Disabilitazione delle Funzionalità SSLVPN: Blocco del traffico TLS in ingresso.
Autenticazione Basata su Certificati: Migliorare l’autenticazione per l’accesso remoto.

Misure temporanee

Per le organizzazioni che non possono adottare immediatamente IPsec con IKEv2, l’NCSC suggerisce misure temporanee come il logging centralizzato delle attività VPN, restrizioni geografiche rigorose e il blocco dell’accesso da provider VPN, nodi di uscita Tor e provider VPS.

L’NCSC ha emesso queste raccomandazioni per migliorare la sicurezza delle reti aziendali e prevenire ulteriori violazioni. L’adozione di soluzioni più sicure come IPsec con IKEv2 rappresenta un passo importante per proteggere le infrastrutture critiche e i dati sensibili dalle minacce informatiche.

Prosegui la lettura

Sicurezza Informatica

Turla usa Lunar contro le agenzie governative europee

Tempo di lettura: 2 minuti. Hacker russi utilizzano i nuovi malware LunarWeb e LunarMail per violare le agenzie governative europee nella ricerca di Eset

Pubblicato

15 ore fa

in data

16/05/2024

Livio Varriale

Tempo di lettura: 2 minuti.

Ricercatori di sicurezza hanno scoperto due nuove backdoor, denominate LunarWeb e LunarMail, utilizzati per compromettere istituzioni diplomatiche di un governo europeo nel Medio Oriente e questi malware, attivi dal 2020 sotto il ceppo di Lunar, sono attribuiti all’APT sponsorizzato dallo stato russo, Turla.

Catena di attacco Lunar

Secondo il rapporto di ESET, l’attacco inizia con email di spear-phishing contenenti file Word con macro dannose per installare la backdoor LunarMail. Questo stabilisce la persistenza creando un componente aggiuntivo di Outlook che si attiva ogni volta che il client di posta viene avviato.

I ricercatori hanno anche osservato l’uso potenziale di uno strumento di monitoraggio di rete open-source mal configurato, Zabbix, per distribuire il payload LunarWeb. Questo componente viene eseguito tramite una richiesta HTTP con una password specifica, decrittando ed eseguendo i componenti del loader e del backdoor.

Funzionamento della backdoor Lunar

LunarWeb e LunarMail sono progettati per una sorveglianza prolungata e nascosta, il furto di dati e il mantenimento del controllo sui sistemi compromessi. LunarWeb è utilizzato sui server, emulando traffico legittimo e nascondendo comandi in file di immagini tramite steganografia.

LunarMail si installa su workstation con Microsoft Outlook, usando un sistema di comunicazione basato su email per lo scambio di dati con il server C2.

Tecniche di persistenza e attacco

I malware Lunar utilizzano tecniche sofisticate per mantenere la loro presenza sui dispositivi infetti, inclusi estensioni delle policy di gruppo, sostituzione di DLL di sistema e distribuzione come parte di software legittimi. I payload vengono decrittati da un loader chiamato LunarLoader usando cifrature RC4 e AES-256.

Attribuzione e sofisticazione degli attacchi

Le somiglianze nei TTP (tattiche, tecniche e procedure) osservate indicano che il toolset Lunar è stato sviluppato e operato da individui multipli, con vari gradi di sofisticazione nelle compromissioni. Gli attacchi più recenti hanno rivelato che i backdoor sono stati utilizzati in operazioni non rilevate dal 2020.

Indicatori di compromissione

ESET ha fornito una lista di indicatori di compromissione (IoC) per file, percorsi, rete e chiavi di registro osservati negli ambienti compromessi. La lista completa è disponibile qui.

Prosegui la lettura