Indagine Kaspersky: i gruppi APT prendono di mira workstation e server basati su Linux

Set 11, 2020 Alessandra Venneri Kaspersky Partner Space 0

Negli ultimi otto anni è stato osservato come circa una dozzina di gruppi APT ha utilizzato malware per Linux o diversi moduli basati su Linux. Tra questi gruppi figurano minacce note come Barium, Sofacy, i Lambert e Equation, oltre a campagne più recenti come LightSpy di TwoSail Junk e WellMess. Diversificare il proprio arsenale con strumenti Linux permette ai criminali di condurre le operazioni in modo più efficace e su larga scala.

In molti Paesi è stata rilevata la propensione da parte di grandi aziende e enti governativi, di utilizzare Linux come ambiente desktop, ragione che spinge i threat actors a sviluppare malware per questa piattaforma. L’errata convinzione che Linux, sistema operativo poco diffuso, non possa essere preso di mira dai malware, aumenta i rischi per la sicurezza informatica. Anche se gli attacchi mirati ai sistemi basati su Linux sono ancora poco comuni, esiste sicuramente un malware progettato ad hoc per loro tra cui webshell, backdoor, rootkit e persino exploit personalizzati. Inoltre, il numero ridotto di attacchi è un dato che può rivelarsi fuorviante, poiché è necessario tenere in considerazione anche le conseguenze di questi attacchi. Infatti, compromettere con successo un server basato su Linux ha delle conseguenze decisamente rilevanti. Gli attaccanti, ad esempio, sono in grado di accedere al dispositivo infetto, ma anche agli endpoint che girano su Windows o macOS, fornendo così un ulteriore punto di accesso agli aggressori che potrebbero, in questo modo, passare inosservati.

Ad esempio, Turla, un prolifico gruppo di lingua russa noto per le sue tattiche di esfiltrazione, ha cambiato radicalmente il suo toolset nel corso degli anni includendo una backdoor Linux. Secondo la telemetria di Kaspersky, una nuova versione della backdoor di Linux Penguin_x64, segnalata all’inizio del 2020, ha infettato, soltanto nel mese di luglio 2020, decine di server in Europa e negli Stati Uniti.

Un altro esempio è Lazarus, un gruppo APT di lingua coreana che continua a diversificare il suo set di strumenti e a sviluppare malware non legati a Windows. Di recente Kaspersky ha esaminato il framework multipiattaforma chiamato MATA e nel giugno 2020 i ricercatori hanno analizzato nuovi campioni legati alle campagne di Lazarus ‘Operation AppleJeus’ e ‘TangoDaiwbo’, utilizzate in attacchi finanziari e di spionaggio. I campioni studiati includevano malware Linux.

Per evitare di cadere vittima di un attacco mirato progettato per Linux da parte di threat actor noti o sconosciuti, i ricercatori di Kaspersky raccomandano di adottare le seguenti misure:

Tenere un elenco di repository affidabili ed evitare di utilizzare canali di aggiornamento non criptati
Non eseguire codici binari e script da fonti non attendibili e non installare i programmi utilizzando comandi come “curl https://install-url | sudo bash”. Sebbene sia un metodo diffuso, rappresenta un rischio per la sicurezza
Accertarsi che la procedura di aggiornamento in uso sia efficace e impostare gli aggiornamenti di sicurezza automatici
Configurare correttamente il firewall assicurandosi che registri l’attività di rete, blocchi tutte le porte non utilizzate e minimizzi l’ingombro di rete
Utilizzare l’autenticazione basata su chiavi SSH e impostare una password per le chiavi
Utilizzare l’autenticazione a due fattori (2FA) e memorizzare le chiavi sensibili su dispositivi token esterni, come ad esempio Yubikey
Utilizzare un tap di rete out-of-band per monitorare e analizzare le comunicazioni del network dei sistemi Linux in modo indipendente
Preservare l’integrità dei file eseguibili del sistema e riesaminare regolarmente le modifiche dei file di configurazione
Prepararsi ad attacchi interni e fisici: utilizzare la crittografia completa del disco e boot affidabili ed etichettare l’hardware critico con un nastro di sicurezza antimanomissione
Condurre un audit del sistema e controllare i registri alla ricerca di indicatori di attacco
Condurre penetration test sul setup Linux
Utilizzare una soluzione di sicurezza per Linux come Integrated Endpoint Security. Le soluzioni di sicurezza forniscono una protezione web e di rete per rilevare il phishing, i siti web dannosi e gli attacchi di rete, oltre a controllare i dispositivi, consentendo agli utenti di definire regole per il trasferimento dei dati ad altri device
Kaspersky Hybrid Cloud Security permette di proteggere DevOps, abilita le integrazioni di sicurezza nelle piattaforme e nei container CI/CD e le scansioni delle immagini per difendersi dagli attacchi alla supply-chain.

Su Securelist.com è possibile leggere la descrizione completa degli attacchi APT rivolti al sistema operativo Linux e una spiegazione approfondita delle raccomandazioni di sicurezza.

Condividi l'articolo