Il rapporto HP Wolf Security Threat Insights di settembre 2024 offre una panoramica dettagliata sulle principali minacce informatiche identificate nel secondo trimestre del 2024. Grazie alla telemetria raccolta da HP Wolf Security, il report evidenzia nuove campagne malware, tendenze emergenti e tecniche utilizzate dai cybercriminali per aggirare le misure di sicurezza e infettare gli endpoint. Scopriamo insieme i punti salienti e le minacce più rilevanti emerse in questo trimestre.

Generative AI e campagne malware in espansione

Un trend preoccupante evidenziato nel rapporto riguarda l’uso sempre più frequente dell’intelligenza artificiale generativa (GenAI) per scrivere codice malevolo. In Q2 2024, il team di HP Threat Research ha identificato una campagna malware che diffondeva AsyncRAT attraverso script VBScript e JavaScript, molto probabilmente scritti con l’ausilio di GenAI.

Questa tecnica rappresenta una sfida crescente per la sicurezza informatica, abbassando la soglia di competenza necessaria per creare malware efficace. L’attività sottolinea come l’intelligenza artificiale stia accelerando lo sviluppo di attacchi, rendendo più facile per i cybercriminali violare endpoint.

Malvertising e ChromeLoader: Minaccia Crescente per i Browser

Un altro punto chiave del rapporto riguarda la crescente diffusione di ChromeLoader, una famiglia di malware che consente agli attaccanti di prendere il controllo delle sessioni di navigazione delle vittime. Nel secondo trimestre del 2024, le campagne di ChromeLoader si sono intensificate e sono diventate più sofisticate, utilizzando il malvertising per attirare gli utenti su siti web che offrivano strumenti di produttività apparentemente innocui, come convertitori PDF. Tuttavia, all’interno di questi siti, i file MSI contenevano codice malevolo nascosto, in grado di bypassare le politiche di sicurezza di Windows grazie a certificati di firma validi.

Malware attraverso immagini SVG

Il rapporto HP Wolf Security evidenzia inoltre un’innovativa tecnica di diffusione malware attraverso i file SVG (Scalable Vector Graphics), utilizzati comunemente nella progettazione grafica. In questa campagna, gli attaccanti hanno abusato delle funzionalità di scripting del formato SVG, incorporando codice JavaScript malevolo all’interno delle immagini. Questo codice ha poi tentato di infettare gli endpoint delle vittime con diversi stealer di informazioni, sfruttando una metodologia non convenzionale per aggirare le misure di sicurezza.

Minacce crescenti e tecniche sofisticate

Il rapporto di settembre 2024 di HP Wolf Security evidenzia come i cybercriminali stiano affinando le loro tecniche per aggirare le difese tradizionali, sfruttando intelligenza artificiale generativa, malvertising e formati di file comunemente considerati sicuri. La crescente sofisticazione degli attacchi sottolinea l’importanza di mantenere aggiornati gli strumenti di sicurezza e di monitorare costantemente l’evoluzione delle minacce.

La società russa di cybersecurity Kaspersky ha iniziato, giovedì scorso, a rimuovere automaticamente il suo software antivirus dai computer degli utenti statunitensi, sostituendolo con l’antivirus UltraAV, senza preavviso. Questa azione arriva dopo che Kaspersky ha deciso di cessare le sue operazioni negli Stati Uniti, in seguito all’inclusione dell’azienda nella Entity List del governo statunitense, a causa di preoccupazioni per la sicurezza nazionale.

Passaggio forzato a UltraAV senza avviso

La transizione a UltraAV è stata avviata come parte del ritiro di Kaspersky dal mercato statunitense, seguendo il divieto di vendita e aggiornamento del software antivirus Kaspersky a partire dal 29 settembre 2024, imposto dall’amministrazione Biden. Tuttavia, molti utenti hanno segnalato che Kaspersky si è disinstallato automaticamente dai loro dispositivi, installando UltraAV senza alcuna notifica preventiva. Alcuni utenti hanno anche scoperto che, dopo aver tentato di disinstallare UltraAV, questo si reinstallava automaticamente al riavvio del sistema, alimentando ulteriori preoccupazioni sulla possibilità di infezioni malware.

In alcuni casi, è stato installato anche UltraVPN, probabilmente a causa di abbonamenti VPN precedentemente attivi con Kaspersky. Gli utenti hanno espresso preoccupazione e confusione, riportando i loro problemi sui forum online, temendo che i loro dispositivi fossero stati compromessi da un virus.

Ruolo di UltraAV e la collaborazione di Kaspersky

Secondo quanto dichiarato, Kaspersky ha collaborato con UltraAV per garantire la continuità della protezione dei propri utenti negli Stati Uniti, evitando interruzioni nel servizio di sicurezza. La decisione è stata giustificata con la necessità di proteggere i clienti da rischi legati alla cybercriminalità, visto che Kaspersky non sarà più in grado di fornire aggiornamenti o supporto dal 30 settembre 2024. Gli utenti interessati sono stati incoraggiati a consultare la pagina dedicata sul sito di UltraAV per ulteriori informazioni su questa transizione forzata.

Il mercato dei ransomware ha subito una trasformazione notevole negli ultimi anni, con strumenti che inizialmente venivano ignorati diventati ora elementi chiave in attacchi su larga scala. È il caso di Kryptina, un Ransomware-as-a-Service (RaaS) inizialmente offerto come strumento open-source e gratuito, che è diventato parte integrante degli attacchi informatici enterprise, grazie soprattutto alla sua integrazione con il famigerato gruppo ransomware Mallox.

L’evoluzione di Kryptina: un salto inatteso

Kryptina, originariamente pubblicato nel 2023, era progettato per essere un RaaS basato su Linux con tutte le funzionalità necessarie per lanciare campagne ransomware, inclusa la gestione dei payload, la configurazione dei pagamenti e l’organizzazione di attacchi. Nonostante queste funzionalità, inizialmente il tool non ha suscitato grande interesse tra gli attori malevoli, fino a quando, nel maggio 2024, un affiliato del gruppo ransomware Mallox ha rivelato l’esistenza di varianti Linux basate proprio su Kryptina.

Questo affiliato ha modificato leggermente il codice sorgente di Kryptina, rimuovendo il branding originale, ma mantenendo intatte le principali funzionalità. Queste modifiche hanno permesso al malware di evolversi, da tool scartato a strumento essenziale per attacchi a grandi aziende.

L’adozione da parte di Mallox: Ransomware su misura

Mallox, noto anche come TargetCompany, è un gruppo ransomware che ha iniziato a operare nel 2021 e si è concentrato su attacchi a grandi imprese, sfruttando vulnerabilità critiche, come quelle in MS SQL Server. L’adozione di Kryptina da parte di questo gruppo dimostra la crescente tendenza alla “commoditizzazione” degli strumenti ransomware. Gli affiliati di Mallox hanno utilizzato Kryptina per creare varianti specifiche per Linux, sfruttando le sue capacità di crittografia e distribuzione di payload attraverso campagne altamente mirate.

Il codice sorgente di Kryptina 2.2, originariamente offerto a 500 dollari e successivamente reso gratuito, è stato modificato per adattarsi alle esigenze di Mallox. Il gruppo ha mantenuto intatta la struttura di base, compresa l’implementazione della crittografia AES-256, ma ha rimosso ogni riferimento all’autore originale del tool, Corlys, per renderlo più “anonimo”.

Tecniche di crittografia e funzionalità di Kryptina

Il cuore del ransomware Mallox, basato su Kryptina, utilizza la crittografia AES-256 in modalità CBC per crittografare i file delle vittime. Le chiavi di crittografia sono offuscate tramite XOR e codificate in Base64, con i file crittografati che vengono poi distribuiti attraverso una rete di server di comando e controllo (C2). Le funzioni principali, come krptna_process_file(), sono state mantenute nel codice sorgente modificato, confermando che l’intera architettura crittografica di Kryptina è stata riutilizzata senza alterazioni significative.

Le modifiche effettuate dagli affiliati

Gli affiliati di Mallox hanno apportato alcune modifiche alla documentazione originale di Kryptina, traducendola in russo e riducendo il contenuto originale, rendendolo più essenziale per gli attacchi. Anche il template per le note di riscatto è stato aggiornato per riflettere il marchio Mallox, sostituendo ogni riferimento a Kryptina.

Le implicazioni per la Sicurezza Aziendale

L’adozione di strumenti come Kryptina da parte di gruppi ransomware affiliati come Mallox rappresenta una minaccia significativa per le imprese. La facilità con cui il codice open-source può essere modificato e utilizzato per lanciare attacchi su larga scala rende più difficile tracciare e contrastare queste minacce. Le aziende secondo Sentinel Labs, autore della ricerca, devono essere consapevoli di questa evoluzione nel panorama dei ransomware e implementare strategie di difesa proattive per prevenire attacchi basati su strumenti come Kryptina.