Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Sandro Sana : 19 Marzo 2024 10:04
La campagna di spionaggio APT nota come “Earth Krahang” è stata attribuita a un gruppo di hacker cinesi che ha compromesso 70 organizzazioni e ne ha prese di mira almeno 116 in 45 paesi. Il focus principale di questa campagna, iniziata all’inizio del 2022, sono le organizzazioni governative. I ricercatori di Trend Micro hanno rivelato che gli hacker hanno compromesso 48 organizzazioni governative, inclusi 10 ministeri degli Affari Esteri, e preso di mira altre 49 agenzie governative. Gli attacchi sfruttano server vulnerabili esposti su Internet e usano email di spear-phishing per distribuire backdoor personalizzate per la cyberspionaggio.
Gli attori della minaccia utilizzano strumenti open-source per scansionare i server pubblici alla ricerca di vulnerabilità specifiche, come CVE-2023-32315 e CVE-2022-21587, per poi distribuire webshell e ottenere accesso non autorizzato e stabilire persistenza nelle reti delle vittime. Una volta all’interno della rete, “Earth Krahang” usa l’infrastruttura compromessa per ospitare payload dannosi, indirizzare il traffico degli attacchi e usare account email governativi hackerati per prendere di mira colleghi o altri governi con email di spear-phishing.
Una delle tattiche preferite dell’attaccante consiste nell’abusare dell’accesso ottenuto alle infrastrutture governative per sferrare attacchi verso altri enti governativi. Sfruttando questo accesso, Earth Krahang riesce a distribuire malware, instradare traffico di attacchi proxy e inviare email di phishing contenenti allegati o link malevoli da account compromessi.
Acquista il corso Dark Web & Cyber Threat Intelligence (e-learning version)
Il Dark Web e la Cyber Threat Intelligence rappresentano aree critiche per comprendere le minacce informatiche moderne. Tra ransomware, data breach e attività illecite, le organizzazioni devono affrontare sfide sempre più complesse per proteggere i propri dati e le infrastrutture. Il nostro corso “Dark Web & Cyber Threat Intelligence” ti guiderà attraverso i meccanismi e le strategie utilizzate dai criminali informatici, fornendoti competenze pratiche per monitorare, analizzare e anticipare le minacce.
Accedi alla pagina del corso condotto dall'Prof. Pietro Melillo sulla nostra Academy e segui l'anteprima gratuita.
Per un periodo limitato, potrai utilizzare il COUPON CTI-16253 che ti darà diritto ad uno sconto del 20% sul prezzo di copertina del corso
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
La catena di attacco successiva coinvolge Cobalt Strike e due backdoor personalizzati chiamati RESHELL e XDealer.
RESHELL è un semplice backdoor .NET in grado di raccogliere informazioni, caricare file o eseguire comandi di sistema. I suoi file binari sono impacchettati con ConfuserEX e le comunicazioni con il server C2 sono crittografate con AES.
A partire dal 2023, Earth Krahang ha iniziato ad utilizzare un altro backdoor più avanzato chiamato XDealer (o DinodasRAT secondo ESET), in grado di colpire sistemi Windows e Linux. Questo malware è ancora in fase di sviluppo attivo.
Molti dei primi campioni di XDealer erano sviluppati come file DLL impacchettati con un installer, un modulo DLL Stealer, stringhe identificative in un file di testo e un file LNK. Il file LNK avvia il programma di installazione che a sua volta installa la DLL XDealer e la DLL del modulo Stealer sul computer della vittima. Il modulo Stealer può catturare screenshot, rubare dati dagli appunti e registrare le pressioni dei tasti.
Alcuni dei loader DLL di XDealer erano firmati con certificati di firma del codice validi rilasciati da GlobalSign a due società cinesi.
Cobalt Strike viene spesso usato nelle fasi iniziali dell’attacco. Earth Krahang ha inoltre aggiunto una protezione extra al suo server C2 integrando il progetto open source RedGuard.
Il gruppo crea anche server VPN (SoftEther) sui server pubblici compromessi per accedere alle reti delle vittime e tentare attacchi di forza bruta sulle credenziali email per rubare la corrispondenza.
Per la scansione e l’accesso ai server, utilizza strumenti come sqlmap, kernel, xray, vscan, pocsuite e wordpressscan.
Dai dati di telemetria, i ricercatori hanno anche scoperto che l’attaccante ha distribuito campioni di PlugX e ShadowPad negli ambienti delle vittime.
Trend Micro ha inizialmente trovato legami tra “Earth Krahang” e l’attore connesso alla Cina “Earth Lusca” sulla base di sovrapposizioni dei comandi e controllo (C2), ma ha determinato che si tratta di un cluster separato. È possibile che entrambi i gruppi di minaccia operino sotto l’azienda cinese I-Soon, lavorando come task force dedicata al cyberspionaggio contro entità governative.
Sandro Sana