Punti di forza
- Una serie di campioni di RedLine, un malware progettato per rubare informazioni, non è riuscita a funzionare in nessuna delle sandbox convenzionali che abbiamo testato, ed è proprio questo che ci ha spinto a esaminarli più attentamente
- Il malware non ha un indirizzo fisso per la comunicazione con il server di controllo. È qualcos’altro a stabilirlo, e non si tratta di un server che chiunque possa semplicemente mettere fuori servizio.
- Il nostro team di FileScan.io Threat Labs è riuscito a risalire all’origine di quell’infrastruttura ben oltre quanto avrebbe mai potuto rivelare un singolo indirizzo IP bloccato
- Tale infrastruttura è rimasta silenziosamente attiva per ben più di un anno, stando alle tracce emerse nel corso delle indagini
- Il fenomeno va ben oltre questi esempi, sollevando interrogativi su quanta infrastruttura sia effettivamente collegata
- L'osservazione completa dei tracciati rivela uno schema ricorrente di ospitalità
Cosa distingue questa tecnica da una tipica distribuzione di un infostealer?
La maggior parte delle operazioni di smantellamento degli infostealer si basa sull’individuazione e il blocco di un server. Questi campioni adottano invece un approccio diverso: si avvalgono di EtherHiding, una tecnica che memorizza la vera destinazione di comando e controllo di una campagna all’interno di uno smart contract della blockchain anziché nel malware stesso, consentendo agli autori degli attacchi di reindirizzare una campagna senza mai intervenire sul file binario.
Inoltre, i campioni non sono riusciti a funzionare come normali programmi all’interno delle sandbox standard. Si tratta di un livello di elusione deliberato, progettato per impedire l’attivazione automatica prima ancora che il payload abbia la possibilità di essere eseguito.
Perché i team SOC e gli ingegneri dovrebbero interessarsene?
Professionisti SOC e threat hunter
Un indirizzo IP bloccato non fornisce praticamente alcuna informazione sulla durata di una campagna o sull’effettiva portata della sua infrastruttura. Per ottenere un quadro completo è necessario analizzare una blockchain pubblica, non solo un feed sulle minacce, e mettere in relazione elementi di prova che la maggior parte degli strumenti SOC non è mai stata progettata per correlare.
Software e ingegneri delle infrastrutture
Le chiamate RPC della blockchain, lo stesso metodo di comunicazione utilizzato dai portafogli e dalle dApp per interagire con una rete, compaiono sempre più spesso come segnali C2 all’interno del malware. I team che sviluppano o proteggono le infrastrutture blockchain devono ora tenere conto del fatto che il traffico RPC possa essere sfruttato a fini di comando e controllo da parte del malware.
Quali organizzazioni sono maggiormente esposte al rischio?
RedLine ruba credenziali, token di sessione e dati memorizzati nel browser, quindi prende di mira qualsiasi organizzazione che abbia accesso a informazioni di valore da perdere. Alcune categorie presentano un rischio maggiore:
- Servizi finanziari e fintech, dove le credenziali rubate si traducono direttamente in frodi
- Enti governativi e gestori di infrastrutture critiche, nei quali un accesso non autorizzato può compromettere le operazioni ed esporre i dati
- I fornitori di servizi gestiti, in cui una singola credenziale rubata può aprire la strada all’accesso a numerosi clienti a valle
- Le aziende tecnologiche e SaaS, dove i token di sessione e le chiavi “ API ” rappresentano obiettivi di grande valore
Quali danni può causare una campagna come questa?
Una volta che RedLine ha sottratto le credenziali, l’impatto dipende da ciò a cui tali credenziali consentono di accedere, dalla frode finanziaria diretta fino a un punto d’appoggio utilizzato per una successiva distribuzione di ransomware. Il ripristino comporta in genere la rotazione di tutte le credenziali a cui il malware potrebbe aver avuto accesso, la revoca delle sessioni attive e la ricostruzione dei sistemi raggiunti dall’accesso rubato prima del rilevamento. Un’infrastruttura di comando nascosta può prolungare il periodo in cui l’accesso rubato rimane utilizzabile.
Come si inserisce in questo quadro l’Aether di “ MetaDefender ”
MetaDefender Aether™ è progettato per rilevare il malware che elude deliberatamente i sandbox convenzionali, compresi i campioni oggetto della presente ricerca. La sua emulazione avanzata neutralizza le tecniche di evasione anti-VM, anti-debug e basate sul tempo senza necessità di configurazione manuale, in modo che i campioni progettati per eludere i sandbox convenzionali vengano comunque analizzati anziché passare inosservati.
Il suo repository di indicatori di minaccia (Threat Indicator Repository) mette poi in correlazione gli indirizzi IP, i domini e gli hash risultanti con oltre 50 miliardi di indicatori noti, fornendo ai team SOC un contesto infrastrutturale più ampio relativo a ciascun indicatore.
A quali domande risponde l'indagine di FileScan.io?
Il nostro team di FileScan.io Threat Labs ha inoltre rintracciato l'infrastruttura alla base dei campioni.
L'indagine completa spiega:
- In che modo i ricercatori hanno decodificato campioni progettati per fallire nei sandbox convenzionali
- Come hanno recuperato un indirizzo di comando crittografato
- Fino a quando risale l'infrastruttura della campagna elettorale
- Quante altre campagne potrebbero avere la stessa struttura di base?
Domande frequenti
Che cos'è EtherHiding?
EtherHiding è una tecnica che consente di memorizzare o recuperare informazioni di configurazione controllate dall'autore dell'attacco, come l'indirizzo di un server di comando, all'interno di uno smart contract su una blockchain pubblica. Ciò permette di mantenere intatta la vera destinazione di una campagna anche dopo che la sua infrastruttura visibile è stata disattivata.
RedLine è una nuova famiglia di malware?
No. RedLine è un infostealer ormai ben noto. Questo cluster si distingue per l’associazione con EtherHiding e per il comportamento evasivo osservato da FileScan.io Threat Labs durante l’analisi.
Perché il blocco del server di comando noto non ferma la campagna?
Lo smart contract alla base della campagna può comunque puntare a un indirizzo sostitutivo, quindi l'infrastruttura sopravvive alla rimozione di qualsiasi singolo indicatore.
In che modo i ricercatori sono riusciti a superare le difese anti-sandbox del campione?
Questa è una delle conclusioni principali dell'indagine. La tecnica è descritta in dettaglio nell'articolo pubblicato da FileScan.io Threat Labs.
In che modo MetaDefender Aether può aiutare a individuare malware come questo?
MetaDefender Aether combina la tecnologia Advanced Emulation, progettata per contrastare le tecniche di evasione anti-VM e anti-debug, con un repository di indicatori di minaccia che mette in correlazione le infrastrutture di comando e controllo con miliardi di indicatori noti, individuando così i campioni progettati per eludere i sandbox convenzionali.
