Vermilion Strike: il Cobalt Strike per Linux sfruttato in attacchi attivi.

Redazione RHC : 13 Settembre 2021 19:44

Una versione non ufficiale di Cobalt Strike Beacon Linux, realizzata da zero da Threat Actors sconosciuti, è stata individuata dai ricercatori di sicurezza mentre veniva utilizzata attivamente in attacchi rivolti ad organizzazioni in tutto il mondo.

Cobalt Strike è uno strumento di test di penetrazione legittimo, progettato come framework di attacco per i Red Team (gruppi di professionisti nella sicurezza che agiscono come aggressori sull’infrastruttura della propria organizzazione per scoprire lacune e vulnerabilità di sicurezza).

Cobalt Strike viene anche utilizzato da Threat Actors (comunemente arruolati nella RaaS, Ransomware as a Service) per attività post-sfruttamento dopo l’implementazione dei cosiddetti “beacon”, che forniscono accesso remoto persistente ai dispositivi compromessi.

Utilizzando questi beacon, gli aggressori possono successivamente accedere ai server violati per raccogliere dati o distribuire ulteriori payload di malware.

Nel tempo, copie craccate di Cobalt Strike sono state ottenute e condivise dai Threat Actors, diventando uno degli strumenti più comuni utilizzati negli attacchi informatici che portano al furto di dati e al ransomware.

Tuttavia, Cobalt Strike ha sempre avuto un punto debole: supporta solo i dispositivi Windows e non include i beacon per il sistema operativo Linux.

In un nuovo rapporto della società di sicurezza Intezer, i ricercatori spiegano come gli attori delle minacce si siano assunti la responsabilità di creare i loro beacon Linux compatibili con Cobalt Strike.

Utilizzando questi beacon, i TA possono ora ottenere la persistenza e l’esecuzione di comandi remoti su macchine Windows e Linux.

I ricercatori di Intezer, che hanno individuato per la prima volta la reimplementazione del beacon ad agosto, l’hanno soprannominata Vermilion Strike e hanno affermato che il binario Cobalt Strike ELF VirusTotal che hanno scoperto non è attualmente completamente rilevabile dalle soluzioni anti-malware.

Vermilion Strike viene fornito con lo stesso formato di configurazione del beacon ufficiale di Windows e può parlare con tutti i server Cobalt Strike, ma non utilizza alcun codice di Cobalt Strike.

Questo nuovo malware per Linux presenta anche sovrapposizioni tecniche (stesse funzionalità e server di comando e controllo) con file DLL di Windows che suggeriscono lo stesso sviluppatore.

“L’esempio utilizza il protocollo Command and Control (C2) di Cobalt Strike durante la comunicazione con il server C2 e dispone di funzionalità di accesso remoto come il caricamento di file, l’esecuzione di comandi shell e la scrittura su file”

ha affermato Intezer e ha aggiunto:

“Il malware non è stato rilevato in VirusTotal al momento della stesura di questo articolo ed è stato caricato dalla Malesia.”

Vermilion Strike può eseguire le seguenti attività una volta distribuito su un sistema Linux compromesso:

• Cambiare directory di lavoro
• Ottenere la directory di lavoro corrente
• Aggiungi/scrivere su file
• Caricare file sul C2
• Eseguire comandi tramite popen
• Ottenere partizioni del disco
• Elencare i file

Utilizzando i dati di telemetria forniti da McAfee Enterprise ATR, Intezer ha anche trovato più organizzazioni prese di mira tramite Vermilion Strike dall’agosto 2021 da vari settori industriali che vanno dalle società di telecomunicazioni e agenzie governative alle società IT, istituzioni finanziarie e società di consulenza in tutto il mondo.

Vale anche la pena ricordare che Vermilion Strike non è il primo o l’unico porting di Beacon di Cobalt Strike su Linux, era già presente geacon, un’implementazione open source basata su Go, disponibile pubblicamente negli ultimi due anni.

Tuttavia, come ha detto Intezer a BleepingComputer,

“questa è la prima implementazione di Linux che è stata utilizzata per attacchi reali”.

Sfortunatamente, non ci sono informazioni sul vettore di attacco iniziale che gli aggressori usano per prendere di mira i sistemi Linux.

“La sofisticatezza di questa minaccia, il suo intento di condurre lo spionaggio e il fatto che il codice non sia mai stato visto prima in altri attacchi, insieme al fatto che prende di mira entità specifiche, ci porta a credere che questa minaccia fosse sviluppata da un abile Threat Actors”

ha concluso Intezer.

Fonte

https://www.bleepingcomputer.com/news/security/hacker-made-linux-cobalt-strike-beacon-used-in-ongoing-attacks/

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.