Gruppo di Minaccia Handala: Tattiche, Obiettivi e Cronologia degli Attacchi

Sommario

Handala è un gruppo hacktivista collegato all’Iran che esegue operazioni informatiche distruttive. Il gruppo utilizza catene di attacco a più fasi che combinano phishing, loader basati su AutoIT e malware wiper. Le sue campagne mirano principalmente a causare disagi e distruggere dati su obiettivi infrastrutturali israeliani, statunitensi e regionali.

Indagine

Il rapporto delinea il passaggio di Handala da attività hacktiviste tradizionali verso operazioni distruttive più avanzate. Esamina l’uso da parte del gruppo delle tecniche BYOVD per l’escalation dei privilegi e la distribuzione di payload wiper sia su ambienti Windows che Linux. L’analisi tecnica copre anche l’attività di comando e controllo tramite Telegram e i metodi di offuscamento incorporati negli script batch.

Mitigazione

Le organizzazioni dovrebbero applicare un filtro email rigoroso per bloccare allegati malevoli e download sospetti basati su ZIP. Limitando l’uso di driver vulnerabili o non autorizzati, è possibile ridurre il rischio di abuso di BYOVD, mentre monitorare l’esecuzione non autorizzata di AutoIT può aiutare a rilevare attività nelle fasi iniziali. Difese endpoint dovrebbero anche essere configurate per identificare sovrascritture rapide di file e comportamenti di formattazione del disco non autorizzata.

Risposta

Se viene rilevata un’attività correlata ad Handala, gli host coinvolti dovrebbero essere isolati immediatamente per fermare la diffusione del malware wiper. Gli investigatori dovrebbero eseguire analisi forense della memoria per identificare shellcode iniettati e esaminare i sistemi per carichi di driver non autorizzati. Anche i log email dovrebbero essere analizzati per determinare l’ambito della campagna di phishing e qualsiasi credenziale compromessa dovrebbe essere ruotata senza ritardo.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria & Baseline deve essere superato.

Razionale: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO rispecchiare direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non pertinenti porteranno a diagnosi errate.

• Narrativa e Comandi di Attacco: L’attaccante ha consegnato con successo un installer NSIS malevolo tramite un allegato spearphishing. All’esecuzione, il motore NSIS viene utilizzato per eseguire una shell di comando nascosta. L’obiettivo è rilasciare uno script secondario (Carroll.cmd) nella directory di lavoro ed eseguirlo immediatamente senza interazione dell’utente. Per rimanere sotto il radar, l’attaccante utilizza SW_HIDE per prevenire che una finestra di prompt dei comandi si apra sul desktop dell’utente. Questa tecnica utilizza software installer legittimo per eseguire comandi arbitrari.

• Script di Test di Regressione:

  # Script di Simulazione: Simulazione dell'esecuzione della riga di comando NSIS
  # Nota: Poiché stiamo simulando la 'riga di comando' catturata dalla regola,
  # attiveremo una creazione di processo che imiti la stringa specifica rilevata.
  
  $MaliciousCommand = 'ExecShell open cmd "/k copy Carroll Carroll.cmd & Carroll.cmd & exit" SW_HIDE'
  
  # Per simulare accuratamente la creazione del processo NSIS, chiamiamo cmd.exe
  # con la stringa come argomento per assicurarci che appaia nella telemetria della riga di comando.
  Start-Process "cmd.exe" -ArgumentList "/c echo $MaliciousCommand"
  
  Write-Host "Comando di simulazione eseguito. Controlla SIEM per: $MaliciousCommand"

• Comandi di Pulizia:

  # Rimuovi qualsiasi file creato durante la simulazione
  Remove-Item -Path "$env:TEMPCarroll.cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPCarroll" -ErrorAction SilentlyContinue