Il gruppo APT Vanguard Panda usa tecniche innovative per i suoi attacchi

News Recenti

Il gruppo APT Vanguard Panda usa tecniche innovative per i suoi attacchi

Giu 27, 2023 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, Intrusione, News, RSS 0

Il team di intelligence di CrowdStrike ha individuato nuove attività da parte del gruppo cinese Vanguard Panda, a.k.a. Volt Typhoon, attivo dal 2020, contro infrastrutture critiche di diversi paesi.

Il gruppo, soprannominato Vanguard Panda dai ricercatori di sicurezza della firma, ha sfruttato le vulnerabilità di ADSelfService Plus di ManageEngine per ottenere l’accesso iniziale e delle web shell custom per l’accesso persistente ai sistemi; infine, per spostarsi all’interno della rete, ha usato tecniche “living-off-the-land” che sfruttano software e funzioni già presenti nel sistema target.

CrowdStrike ha analizzato un incidente ai danni di un server Tomcat che eseguiva ADSelfService Plus. L’analisi dei ricercatori ha evidenziato che il gruppo aveva un’elevata familiarità del sistema ed era in possesso di IP, dispositivi e credenziali da usare per ottenere il controllo del server.

Il team è riuscito a isolare l’host e impedire agli attaccanti di inserirsi nella rete. CrowStrike ha individuato un file, selfsdp.jspx, che conteneva la webshell usata dagli attaccanti; il gruppo era riuscito a mascherarla da file legittimo di ADSelfService Plus modificandone il titolo e aggiungendo link all’helpdesk ufficiale del software.

Credits: Pixabay

Secondo il team di sicurezza, il file era stato inserito nel sistema 6 mesi prima dell’attacco. A giudicare dalle attività del gruppo e dalla velocità con cui sono state seguite, Vanguard Panda aveva svolto ricerche approfondite sul sistema target per ottenere tutte le informazioni di cui aveva bisogno, comprese le credenziali di amministratore.

Le tecniche di Vanguard Panda per ottenere l’accesso ai sistemi sono peculiari nel mondo del cybercrimine e rendono difficile l’individuazione delle attività malevole. Stando all’analisi di CrowdStrike, il gruppo aveva distribuito nel sistema diverse altre webshell e backdoor, tutte legate allo stesso attacco.

Per proteggersi dagli attacchi del gruppo, ClowdStrike consiglia di impostare regole per monitorare le richieste all’URI “/addEndpoint/html/lookup.gif” usato dalla backdoor di Vanguard Panda, di controllare i file sotto “C:\users\public\” con estensione .jar e i file tmp.log nello stesso percorso, e di analizzare qualsiasi file .java o .class sconosciuto nel percorso “C:\ManageEngine\ADSelfService Plus\work\Catalina\localhost\ROOT\org\apache\jsp\” e nelle relative sottocartelle.

Condividi l'articolo