Cisco Talos: il report degli attacchi dei primi sei mesi del 2023

Ott 26, 2023 Approfondimenti, Attacchi, Campagne malware, Minacce, RSS

---

Gli attacchi informatici continuano ad aumentare e i cyberattaccanti stanno sviluppando nuove tecniche e strumenti per rendere le campagne più efficaci; lo conferma l’analisi di Cisco Talos sugli attacchi dei primi sei mesi del 2023, delineando un quadro piuttosto preoccupante.

L’indagine ha rivelato che la maggior parte degli attacchi ha avuto come scopo l’estorsione, in particolare di dati sensibili: gli attaccanti hanno minacciato le aziende di pubblicare i dati sul dark web, a meno del pagamento di una somma ingente.

I ricercatori hanno rilevato un aumento del fenomeno degli “hacker a pagamento”, ovvero cybercriminali che mettono in vendita i propri servizi e strumenti di attacco. In crescita anche i gruppi di mercenari informatici, le campagne di spionaggio, gli attacchi alla supply chain e gli strumenti venduti in modalità “as a service”.

Cisco Talos: le minacce mese per mese

Gennaio

A gennaio i ricercatori hanno notato che i metodi di accesso iniziali più diffusi, come le macro dannose, sono stati sostituiti da altri tipi di allegati eseguibili, in particolare col formato LNK di file binari Shell Link.

Febbraio

A febbraio si è diffuso il ransomware MortalKombat e una variante GO di Laplas Clipper, entrambi a opera di un gruppo non ancora identificato. L’obiettivo dei due malware era quello di ottenere criptovalute dalle vittime.

Marzo

Marzo è stato un mese ricco di rilevazioni, a cominciare dalla botnet Prometei: i ricercatori di Talos hanno individuato l’aggiornamento di alcuni moduli della catena di esecuzione per automatizzare i processi ed eludere i controlli dell’analisi forense.

Nello stesso periodo la compagnia di sicurezza ha rilevato gli attacchi di YoroTrooper, gruppo APT kazako, contro organizzazioni governative e del settore energetico in Azerbaigian, Tagikistan, Kirghizistan e in altri Stati del CSI (Commonwealth of Independent States).

YoroTrooper ha compromesso anche gli account di almeno due realtà internazionali: un’organizzazione sanitaria dell’Unione Europea e l’Organizzazione Mondiale della Proprietà Intellettuale (OMPI).

A marzo sono state rilevate anche nuove catene di infezioni di Emotet, un trojan bancario che si è evoluto in un dropper, e un nuovo attacco alla supply chain di 3CX ai danni degli utenti Windows e MacOS. L’attacco ha sfruttato gli aggiornamenti dell’applicazione telefonica per distribuire una serie di payload dannosi.

Infine, nello stesso mese Talos ha reso nota la vulnerabilità CVE-2024-23397 di Microsoft Outlook che consentiva l’escalation dei privilegi.

Aprile

Aprile è stato il mese di Typhon Reborn V2: l’information stealer ha integrato nuove funzionalità anti-analisi e anti-virtual machine per eludere il rilevamento. I ricercatori di Cisco Talos hanno anche registrato un aumento di attacchi state-sponsored altamente sofisticati contro infrastrutture di rete in varie parti del mondo.

Maggio

Anche maggio è stato un mese ricco di rilevazioni: i ricercatori hanno scoperto Greatness, un sistema phishing-as-a-service in grado di sfruttare funzionalità avanzate come l’aggiramento dell’autenticazione multi-fattore, il filtraggio degli indirizzi IP e l’integrazione coi bot di Telegram.

Cisco Talos ha inoltre scoperto RA Group, un nuovo gruppo ransomware che ha colpito organizzazioni negli Stati Uniti e nella Corea del Sud, un nuovo spyware venduto dall’azienda Intellexa e un nuovo attacco botnet chiamato Horabot che distribuisce un trojan bancario e uno strumento di spam.

Giugno

Infine, a giugno si sono diffusi gli attacchi che hanno sfruttato la vulnerabilità di MOVEit Transfer, la soluzione per il trasferimento gestito di file di Progress Software. Il gruppo ransomware Cl0p ha usato la vulnerabilità zero-day per accedere ai dati sensibili di compagnie come OfCom. Le campagne sono continuate anche nei mesi successivi, come dimostra l’attacco Maximus di luglio.

---

• Cisco Talos, malware as a service, MoveIT, Phishing, Ransomware, supply chain

---

---