C’è CozyBear (APT29) dietro le irregolarità di TeamViewer!

RHC Dark Lab : 28 Giugno 2024 14:00

6 giugno 2024 – TeamViewer ha rilevato un’irregolarità nell’ambiente IT aziendale interno. Come riportato nel nostro precedente articolo, TeamViewer ha confermato che mercoledì 26 giugno 2024 il loro team di sicurezza ha rilevato un’irregolarità nel loro ambiente IT aziendale interno.

L’azienda ha rassicurato i propri clienti dichiarando che questo ambiente è “completamente indipendente dall’ambiente del prodotto.”

Aggiornamento di TeamViewer

L’azienda ha riportato un update al suo comunicato intorno alle ore 12:00 dove riporta:

Aggiornamento sulla Sicurezza – 28 Giugno 2024, 12:10 CEST
Un gruppo di lavoro composto dal team di sicurezza di TeamViewer insieme a esperti di sicurezza informatica di fama mondiale ha lavorato 24 ore su 24 per indagare sull'incidente con tutti i mezzi disponibili. Siamo in costante scambio con fornitori aggiuntivi di informazioni sulle minacce e autorità competenti per informare l'indagine.

I risultati attuali dell'indagine indicano un attacco avvenuto mercoledì 26 giugno, collegato alle credenziali di un account standard di un dipendente all'interno del nostro ambiente IT aziendale. Basandosi su un monitoraggio continuo della sicurezza, i nostri team hanno identificato comportamenti sospetti di questo account e hanno immediatamente attivato misure di risposta agli incidenti. Insieme al supporto esterno per la risposta agli incidenti, attualmente attribuiamo questa attività all'attore di minacce noto come APT29 / Midnight Blizzard. Sulla base dei risultati attuali dell'indagine, l'attacco è stato contenuto all'interno dell'ambiente IT aziendale e non ci sono prove che l'attore di minacce abbia avuto accesso al nostro ambiente di prodotto o ai dati dei clienti.

Seguendo le migliori pratiche architettoniche, abbiamo una forte segregazione dell'IT aziendale, dell'ambiente di produzione e della piattaforma di connettività TeamViewer. Questo significa che manteniamo tutti i server, le reti e gli account rigorosamente separati per aiutare a prevenire l'accesso non autorizzato e il movimento laterale tra i diversi ambienti. Questa segregazione è uno dei molteplici livelli di protezione nel nostro approccio di "difesa in profondità".

La sicurezza è di massima importanza per noi, è profondamente radicata nel nostro DNA. Pertanto, ci impegniamo a comunicare in modo trasparente con gli stakeholder. Continueremo ad aggiornare lo stato delle nostre indagini nel nostro Trust Center man mano che saranno disponibili nuove informazioni. Ci aspettiamo di pubblicare il prossimo aggiornamento entro la fine di oggi CEST.

Allarme di NCC Group

In precedenza, NCC Group, un’azienda di cybersecurity, ha avvertito i suoi clienti di una “significativa compromissione della piattaforma di accesso remoto e supporto di TeamViewer da parte di un gruppo APT.” Questo avviso è stato condiviso da un esperto di sicurezza che si fa chiamare Jeffrey su Mastodon.

Lo screenshot pubblicato indica un TLP “AMBER+STRICT”, il che significa che le informazioni sensibili sono designate solo per una divulgazione limitata, ristretta all’organizzazione dei partecipanti.

Avviso di Health-ISAC

L’organizzazione Health-ISAC (Information Sharing and Analysis Center) ha avvertito che TeamViewer potrebbe essere stato violato da “Cozy Bear”, un attore sponsorizzato dallo stato controllato da un servizio segreto russo. “Il 27 giugno 2024, Health-ISAC ha ricevuto informazioni da un partner di intelligence fidato che APT29 sta sfruttando attivamente TeamViewer.

Health-ISAC raccomanda di esaminare i log per eventuali traffici insoliti di desktop remoto. È stato osservato che gli attori delle minacce sfruttano strumenti di accesso remoto. È stato osservato che TeamViewer viene sfruttato da attori di minacce associati ad APT29″, ha condiviso Jeffrey.

Il Gruppo APT29

APT29 è anche conosciuto con altri nomi come Cozy Bear, NOBELIUM e Midnight Blizzard.

Origine: APT29 è un gruppo di hacking sponsorizzato dallo stato russo, collegato al Servizio di Intelligence Estero della Russia (SVR).

Attività Principale: APT29 è noto per le sue attività di cyber-espionaggio. Il gruppo prende di mira governi, organizzazioni internazionali, aziende e istituzioni accademiche per raccogliere informazioni sensibili.

Tecniche e Tattiche:

• Spear Phishing: APT29 utilizza spesso campagne di spear phishing per ottenere l’accesso iniziale ai sistemi target. Queste email di phishing sono altamente personalizzate e mirate a individui specifici all’interno delle organizzazioni.
• Malware Sviluppato: Il gruppo è noto per sviluppare malware sofisticato, tra cui strumenti come “Hammertoss,” “Uroburos,” e “Sunburst,” utilizzato nell’attacco alla catena di fornitura di SolarWinds.
• Tecniche di Offuscamento: APT29 impiega avanzate tecniche di offuscamento per evitare il rilevamento dei suoi attacchi, includendo l’uso di comunicazioni crittografate e canali di comando e controllo nascosti.

Attacchi di Alto Profilo:

• Attacco a SolarWinds (2020): Uno degli attacchi più noti associati ad APT29 è stato l’incidente di SolarWinds, dove il gruppo ha compromesso la catena di fornitura del software di gestione IT Orion, utilizzato da molte organizzazioni governative e aziendali.
• Attacchi a Diplomatici e Organizzazioni Internazionali: APT29 ha preso di mira diplomatici e organizzazioni come la NATO e l’OSCE, cercando di ottenere informazioni geopolitiche sensibili.
• Violazione dei Sistemi Elettorali USA (2016): Il gruppo è stato implicato negli attacchi ai sistemi elettorali statunitensi durante le elezioni presidenziali del 2016.

Motivazioni: Le attività di APT29 sono principalmente motivate da obiettivi di spionaggio geopolitico e di intelligence, con lo scopo di sostenere gli interessi del governo russo e ottenere un vantaggio strategico a livello globale.

Conclusioni

TeamViewer sta attivamente indagando sull’irregolarità rilevata nel loro sistema IT aziendale interno. Mentre le indagini proseguono, l’azienda rimane concentrata sulla protezione dell’integrità dei propri sistemi e sulla sicurezza dei dati dei clienti. Le autorità e le organizzazioni di sicurezza continueranno a monitorare la situazione per garantire che qualsiasi minaccia venga prontamente mitigata.

RHC Dark Lab
RHC Dark Lab è un gruppo di esperti della community di Red Hot Cyber dedicato alla Cyber Threat Intelligence guidato da Pietro Melillo. Partecipano al collettivo, Sandro Sana, Alessio Stefan, Raffaela Crisci, Vincenzo Di Lello, Edoardo Faccioli e altri membri che vogliono rimanere anonimi. La loro missione è diffondere la conoscenza sulle minacce informatiche per migliorare la consapevolezza e le difese digitali del paese, coinvolgendo non solo gli specialisti del settore ma anche le persone comuni. L'obiettivo è diffondere i concetti di Cyber Threat Intelligence per anticipare le minacce.

Lista degli articoli