Anche i pirati informatici fanno errori di distrazione

Dic 01, 2017 Marco Schiaffino Attacchi, Hacking, In evidenza, Malware, News, RSS 0

Un’email di phishing del gruppo Cobalt contiene tutti gli indirizzi dei possibili bersagli. Nel mirino ci sono anche delle banche italiane.

Sono professionisti del cyber-crimine, specializzati nel colpire istituti finanziari e altri enti di alto livello. Stiamo parlando del gruppo Cobalt, che in questi giorni sembrerebbe impegnato in una massiccia campagna di distribuzione di un suo malware.

Come abbiamo raccontato in questo articolo, i pirati del gruppo Cobalt stanno sfruttando una vulnerabilità di Office particolarmente insidiosa. Scoperta solo qualche settimana fa, consente di creare un documento di Word (Cobalt usa il formato RTF) che avvia l’installazione di un malware all’apertura del documento, senza che la vittima debba approvare l’esecuzione delle Macro o dare altre autorizzazioni.

Come ha segnalato Yonathan Klijnsma, un ricercatore della società di sicurezza RiskIQ, sembra però che i pirati si siano distratti e abbiano commesso un classico errore di distrazione.

In una delle email di phishing inviata il 21 novembre alle potenziali vittime, infatti, hanno inserito gli indirizzi dei destinatari nel campo “A:” e non in quello “Ccn:” (Copia conoscenza nascosta – ndr) che viene utilizzato di solito per impedire che il destinatario si accorga che l’email è stata inviata anche a qualcun altro.

Risultato: i ricercatori di sicurezza hanno in pratica ottenuto un elenco completo dei bersagli presi di mira dal gruppo Cobalt. Per la precisione stiamo parlando di 1880 indirizzi di posta elettronica che fanno riferimento a un gran numero di banche del Kazakistan, ma anche di altri paesi tra cui Stati Uniti, Olanda, Austria, Russia, Kuwait e Italia.

Individuato già nel 2016, il gruppo Cobalt agisce ormai a livello internazionale. I bersagli preferiti sono banche e istituti finanziari.

La cosa interessante è che, secondo Klijnsma, le email in questione (molte fanno riferimento direttamente a impiegati degli istituti) non sarebbero state nemmeno difficile da rintracciare. Come il ricercatore ha verificato, sono tutte individuabili attraverso una semplice ricerca su Google.

I ricercatori non hanno pubblicato i nomi degli istituti coinvolti nell’attacco, ma hanno avuto la possibilità di studiare il payload che viene attivato al momento dell’apertura del documento.

Come si sospettava, si tratta di Cobalt Strike, uno strumento normalmente utilizzato dai team che eseguono test di penetrazione e che è anche il “marchio di fabbrica” del gruppo Cobalt.

La sorpresa, invece, è arrivata dall’analisi dei server Command and Control. Utilizzando i certificati digitali usati dal gruppo per crittografare le comunicazioni con protocollo SSL, i ricercatori di RiskIQ ne hanno individuati ben 816. Gli stessi ricercatori, però, avvisano che il dato è “drogato”.

I pirati informatici avrebbero infatti usato il certificato digitale predefinito fornito con Cobalt Strike. Questo significa che una parte dei server (ma è impossibile sapere quanti) sono utilizzati da ricercatori che usano Cobalt Strike per i loro test. Il numero di 816, però, fa comunque una certa impressione…

Condividi l'articolo