Gli hacker di Turla, utilizzano i server di Microsoft Exchange come server di comando e controllo

Redazione RHC : 2 Agosto 2023 07:53

I ricercatori hanno avvertito di nuovi attacchi da parte del gruppo di hacker Turla (noto anche come Secret Blizzard, KRYPTON o UAC-0003) che prendono di mira il settore della difesa ucraino e dell’Europa orientale e i server Microsoft Exchange.

In questa campagna, il gruppo utilizza la backdoor DeliveryCheck, che trasforma i server Exchange in server di controllo dannosi.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Microsoft e CERT-UA segnalano che tali attacchi iniziano con e-mail di phishing contenenti allegati Excel XLSM con macro dannose. Quando attivate, queste macro eseguono un comando di PowerShell, creando un’attività pianificata che imita il programma di aggiornamento del browser di Firefox.

Infatti, questa attività è responsabile del download della backdoor DeliveryCheck (nota anche come CapiBar e GAMEDAY) e della sua esecuzione in memoria, dopodiché si connette al server di controllo degli aggressori per ricevere comandi o distribuire payload aggiuntivi.

Una volta che i dispositivi sono stati infettati, gli aggressori utilizzano la backdoor per rubare i dati utilizzando lo strumento Rclone. Una caratteristica distintiva di DeliveryCheck è un componente che viene eseguito lato server Microsoft Exchange, che lo trasforma il server in un C2.

Secondo gli analisti Microsoft, questo componente viene installato utilizzando Desired State Configuration, un modulo di PowerShell che consente agli amministratori di creare una configurazione predefinita e applicarla ai dispositivi. In genere, questa funzione viene utilizzata per creare modelli di configurazione predefiniti, che vengono quindi utilizzati per configurare automaticamente più dispositivi con le stesse impostazioni.

Gli hacker utilizzano DSC per scaricare automaticamente un eseguibile Windows con codifica Base64 che trasforma un normale server Exchange in un server di distribuzione del malware.

I ricercatori notano anche che in alcuni casi Turla ha distribuito la backdoor KAZUAR, che è un “impianto completamente funzionale”. Questo malware è uno strumento di spionaggio informatico che consente di eseguire JavaScript su un dispositivo, rubare dati dai registri eventi, rubare informazioni sui file di sistema e rubare token di autenticazione, cookie e credenziali per un’ampia gamma di programmi, inclusi browser, client FTP, VPN, KeePass, Azure, AWS e Outlook.

“Gli aggressori prendono di mira specificamente il furto di file contenenti messaggi dal popolare messenger Signal Desktop, che consente loro di leggere conversazioni private in Signal, nonché il furto di documenti, immagini e archivi dai sistemi di destinazione”, ha affermato Microsoft Threat Intelligence.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli