ChamelGang: la nuova gang APT che minaccia la Russia.

Gli specialisti di sicurezza di Positive Technologies, hanno identificato un nuovo gruppo APT precedentemente sconosciuto chiamato ChamelGang che ha preso di mira obiettivi in Russia del complesso del carburante e dell’energia e l’industria aeronautica.

Il gruppo svolge attacchi mirati al furto della proprietà intellettuale all’interno delle reti compromesse. I primi attacchi di questo gruppo sono stati registrati nel marzo 2021.

“Il fatto stesso dell’attacco non è qualcosa di unico: le imprese in quest’area sono tra le tre industrie più attaccate. Allo stesso tempo, tali attacchi portano molto spesso alla perdita di dati o danni finanziari: nell’84% dei casi lo scorso anno gli aggressori miravano specificamente a rubare informazioni”

spiega Denis Kuvshinov, capo del dipartimento di ricerca sulle minacce alla sicurezza delle informazioni presso Positive Technologies.

“Le imprese industriali sono lungi dall’essere sempre in grado di identificare autonomamente un attacco informatico mirato e per molti anni possono rimanere nell’illusione della sicurezza, considerando minima la probabilità che si verifichino eventi inaccettabili. Tuttavia, in pratica, in oltre il 90% dei casi, un utente malintenzionato può penetrare nella rete aziendale di un’impresa industriale e portare al controllo completo dell’infrastruttura dell’organizzazione di destinazione.”.

Il team di risposta agli incidenti IS del centro di esperti di sicurezza di Positive Technologies ( PT Expert Security Center ), mentre conduceva indagini in aziende russe nei settori del carburante, dell’energia e dell’aviazione, ha scoperto questo nuovo gruppo di criminali informatici.

Per ottenere l’accesso alla rete dell’impresa target, il gruppo ha compromesso una filiale utilizzando una versione vulnerabile di un’applicazione web sulla piattaforma open source JBoss Application Server.

Sfruttando la vulnerabilità CVE-2017-12149 chiuso da Red Hat più di quattro anni fa, gli hacker erano in grado di eseguire comandi in remoto su un host. Due settimane dopo, il gruppo è riuscito a compromettere la casa madre: gli aggressori hanno appreso la password dell’amministratore locale su uno dei server windows e sono entrati nella sua rete utilizzando il protocollo desktop remoto (RDP).

Sebbene non rilevati, gli aggressori sono rimasti nella rete aziendale per tre mesi; studiando l’organizzazione, hanno ottenuto il controllo sulla maggior parte delle sue infrastrutture, inclusi server e nodi critici in diversi segmenti.

Nel secondo caso, per penetrare nell’infrastruttura, gli aggressori hanno utilizzato una catena di vulnerabilità correlate in Microsoft Exchange (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207) – ProxyShell.

Gli exploit di ProxyShell sono diventati noti nell’agosto di quest’anno e nell’ultimo mese e mezzo è stato attivamente sfruttato da vari gruppi APT.

Gli aggressori hanno avuto accesso ai server di posta dell’azienda utilizzando una backdoor, che al momento dell’attacco non è stata rilevata dalla maggior parte delle soluzioni antivirus. Come nel primo caso, il gruppo mirava a sottrarre dati, tuttavia, la tempestiva individuazione del gruppo APT e il suo contrasto hanno consentito di prevenire il furto di dati: gli aggressori erano presenti nell’infrastruttura dell’organizzazione attaccata solo da otto giorni e non avevano avuto il tempo per infliggere danni significativi.

Una caratteristica distintiva degli attacchi del gruppo ChamelGang è l’uso di nuovi malware precedentemente sconosciuti: ProxyT, BeaconLoader e la backdoor DoorMe.

Quest’ultima è una backdoor passiva, la quale è molto più difficile da rilevare. Inoltre, il gruppo ha già i seguenti malware nel suo toolkit, in particolare FRP, Cobalt Strike Beacon, Tiny shell.

“Tra i campioni di malware che abbiamo trovato, il più interessante è la backdoor di DoorMe. Fondamentalmente, è un modulo IIS nativo che si registra come filtro attraverso il quale vengono elaborate le richieste e le risposte HTTP. Il suo principio di funzionamento non è comune: la backdoor elabora solo quelle richieste in cui è impostato il parametro cookie corretto. Al momento dell’indagine sull’incidente, DoorMe non è stato rilevato dalla protezione antivirus e sebbene la tecnica per installare questa backdoor sia nota, di recente abbiamo visto il suo utilizzo per la prima volta ”

nota Denis Goidenko, capo di il dipartimento di risposta alle minacce alla sicurezza delle informazioni presso Positive Technologies.

“La backdoor offre agli aggressori opportunità abbastanza ampie nei sistemi catturati: è in grado di eseguire comandi tramite cmd.exe e creare un nuovo processo, scrivere file in due modi e copiare timestamp.”

Il gruppo ha preso il nome ChamelGang (dall’inglese camaleonte) per l’utilizzo di domini di phishing e funzionalità del sistema operativo per mascherare malware e infrastrutture di rete.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research