Hacker collegati allo Stato cinese combinano strumenti automatizzati con attacchi manuali

Riassunto

Gli attori legati al governo cinese, supportati dal Gruppo Tecnologico Integrity, utilizzano una combinazione di strumenti di scansione automatizzati, botnet su larga scala e sfruttamento manuale. Prendono di mira dati sensibili nei settori delle infrastrutture critiche utilizzando vulnerabilità nelle applicazioni web e nei server Microsoft Exchange. Gli attori impiegano varie tecniche per la persistenza, il furto di credenziali e l’esfiltrazione di dati per raggiungere i loro obiettivi.

Indagine

L’indagine è stata condotta da diverse agenzie internazionali, tra cui l’FBI, CISA, NSA e altre, basata su prove tecniche recuperate da molteplici indagini relative al Gruppo Tecnologico Integrity. Gli analisti hanno osservato l’uso di strumenti personalizzati come MicroScan, EBurst e Curlc4.txt, insieme a tecniche standard di living-off-the-land. I risultati hanno rivelato malware specifici come live700_v1.exe e l’uso di SoftEther VPN per la persistenza.

Mitigazione

Le organizzazioni dovrebbero prioritizzare la disabilitazione dei servizi e delle porte non utilizzate e sanificare gli input delle applicazioni web per prevenire attacchi di iniezione. Implementare l’autenticazione multifattoriale (MFA) per tutti i servizi e adottare politiche solide di gestione dell’identità e degli accessi (ICAM) è fondamentale. Inoltre, si raccomanda di applicare tempestivamente patch al software e al firmware per ridurre il rischio di sfruttamento.

Risposta

Dopo la rilevazione, le organizzazioni dovrebbero isolare gli host compromessi e avviare la caccia alle minacce per determinare l’intera portata dell’intrusione. Rivedere i log e gli artefatti pertinenti per identificare TTP specifici e una cronologia delle attività. Implementare contromisure di espulsione sistematicamente utilizzando playbook stabiliti per contenere ed eradicare l’attore minaccioso dalla rete.

Esecuzione di Simulazione

• Narrativa dell’Attacco & Comandi: L’avversario ha ottenuto l’accesso iniziale alla postazione di lavoro. Per mantenere la persistenza ed eludere il rilevamento da parte degli analisti SOC in cerca di sistemi binari sconosciuti, l’avversario esegue una tecnica di “Camuffamento”. Prendono un semplice eseguibile benigno (in questo caso, calc.exe) e lo rinominano come DiagTrack.exe. Successivamente eseguono questo file rinominato da una directory non standard (C:UsersPublic). Questa azione intende attivare la regola di rilevamento che monitora l’esecuzione di DiagTrack.exe quando viene usato come strumento di camuffamento.

• Script di Test di Regressione:

  # Script di Simulazione: Camuffarsi come DiagTrack.exe
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  $SourceBinary = "C:WindowsSystem32calc.exe"
  
  # 1. Creare directory se non esiste
  if (!(Test-Path $TargetDir)) {
      New-Item -ItemType Directory -Path $TargetDir -Force | Out-Null
  }
  
  # 2. Copiare e rinominare il sistema binario per camuffarlo
  Copy-Item -Path $SourceBinary -Destination "$TargetDir$MaliciousName" -Force
  
  # 3. Eseguire il sistema binario camuffato per attivare il rilevamento
  Write-Host "[+] Esecuzione del sistema binario camuffato: $TargetDir$MaliciousName"
  Start-Process -FilePath "$TargetDir$MaliciousName"
  
  Write-Host "[+] Simulazione completata. Controllare il SIEM per il rilevamento."

• Comandi di Pulizia:

  # Script di Pulizia
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  
  if (Test-Path "$TargetDir$MaliciousName") {
      Remove-Item -Path "$TargetDir$MaliciousName" -Force
      Write-Host "[+] Pulizia riuscita: $MaliciousName rimosso."
  } else {
      Write-Host "[-] Pulizia fallita: File non trovato."
  }