Aggiornamenti recenti Marzo 3rd, 2021 5:06 PM
Ott 09, 2020 Alessandra Venneri Kaspersky Partner Space 0
I ricercatori di Kaspersky hanno rilevato una serie di attacchi mirati contro le organizzazioni industriali risalenti al 2018. Nel panorama delle minacce persistenti avanzate (APT) questo tipo di attacchi sono molto più rari rispetto alle campagne contro i diplomatici e altri esponenti politici di alto profilo. Enti governativi, diplomatici e operatori delle telecomunicazioni sono il bersaglio preferito delle APT perché possiedono un patrimonio di informazioni politiche altamente confidenziali ed estremamente sensibili. Invece, le campagne di spionaggio mirate contro le realtà industriali sono molto più rare, ma, come ogni altro attacco contro il settore industriale, possono avere conseguenze devastanti per il business. Il toolset utilizzato, denominato in origine MT3 dagli autori del malware, è stato poi soprannominato da Kaspersky “MontysThree”.
Per effettuare l’attività di spionaggio, MontysThree utilizza un programma malware composto da quattro moduli. Il primo è il loader, che si diffonde inizialmente utilizzando un file RAR SFX (archivi auto-estraente) con i nomi relativi alle liste di contatto dei dipendenti, la documentazione tecnica e i risultati di analisi mediche con lo scopo di indurre i dipendenti a scaricare i file, secondo una comune tecnica di spear phishing. Il compito fondamentale del loader è garantire che il malware non venga rilevato sul sistema e a tal fine utilizza una tecnica nota come steganografia.
La steganografia è una tecnica utilizzata dai criminali informatici per nascondere lo scambio di dati. Nel caso di MontysThree, il payload malevolo principale è occultato come file bitmap (un formato per l’archiviazione di immagini digitali). Dopo aver inserito il comando corretto, il loader utilizzerà un algoritmo personalizzato per decifrare il contenuto dall’array di pixel ed eseguire il payload dannoso.
Il payload dannoso principale utilizza diverse tecniche di encryption proprie per eludere il rilevamento. In particolare, utilizza l’algoritmo RSA, che permette di crittografare le comunicazioni con il server di controllo e decrittografare i principali “task” assegnati dal malware. Questo include la ricerca di documenti con estensioni specifiche e in particolari directory aziendali. MontysThree è progettato per prendere di mira i documenti Microsoft e Adobe Acrobat; può anche catturare screenshot e “impronte digitali”, ossia raccogliere informazioni sulle impostazioni di rete, sul nome dell’host e molto altro.
Le informazioni raccolte e le altre comunicazioni con il server di controllo sono poi ospitate su servizi cloud pubblici come Google, Microsoft e Dropbox. Questo sistema rende difficile distinguere il traffico di comunicazione come dannoso e, poiché nessun antivirus blocca questi servizi, garantisce che il server di controllo possa eseguire comandi ininterrottamente.
MontysThree, inoltre, utilizza un modifier per Windows Quick Launch come metodo per ottenere la persistenza sul sistema infetto. Ogni volta che gli utenti utilizzano la barra degli strumenti di avvio rapido per eseguire applicazioni legittime come i browser, attivano a loro insaputa anche il modulo iniziale del malware.
Kaspersky non ha riscontrato elementi comuni nel codice dannoso o nell’infrastruttura che corrispondessero ad altre APT note.
Maggiori informazioni su MontysThree sono disponibili su Securelist. Per ulteriori dettagli sugli Indicatori di Compromissione associati a questo gruppo, compresi gli hash di file, è possibile accedere al Kaspersky Threat Intelligence Portal.
Per proteggere le organizzazioni da minacce come MontysThree, gli esperti di Kaspersky raccomandano:
Mar 02, 2021 0
Feb 26, 2021 0
Feb 12, 2021 0
Gen 19, 2021 0
Feb 09, 2021 0
Dic 20, 2020 0
Nov 29, 2020 0
Nov 25, 2020 0
Feb 16, 2021 0
Una nuova inchiesta di Bloomberg riprende la vicenda. Il...Nov 11, 2020 0
L’utilizzo di app basate su algoritmi di AI per la...Ott 22, 2020 0
Il nuovo scenario del panorama IT delinea priorità e...Ott 05, 2020 0
Cosa significa la sua istituzione, come è stato...Lug 01, 2020 0
Lo dice il Thales Data Threat Report 2020. Le aziende...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mar 03, 2021 0
La vulnerabilità in Chrome, secondo i ricercatori di...Mar 02, 2021 0
Lo studio di Kaspersky mette a fuoco le tendenze del...Mar 01, 2021 0
La tecnica prevede l’uso di siti Internet compromessi per...Feb 26, 2021 0
La ricerca di Kaspersky conferma l’abuso di software spia...Feb 25, 2021 0
Il sistema di interazione dell’assistente vocale di...Kaspersky e Wiko, 5 consigli ’easy-to-use’ per navigare responsabilmente L’anno... Continua →