Attori legati alla Cina mantengono l’attenzione sulle organizzazioni che influenzano la politica degli Stati Uniti

Analisi

Gruppi di minacce collegati allo stato cinese come APT41, Kelp (Salt Typhoon), i Pirati dello Spazio e il sottogruppo Earth Longzhi hanno condotto un’intrusione multi-fase contro un’organizzazione no-profit statunitense che influenza la politica governativa. Gli aggressori hanno eseguito una scansione iniziale per exploit noti (ad es., CVE-2022-26134, CVE-2021-44228, CVE-2017-9805, CVE-2017-17562), utilizzato curl per testare la connettività, raccolto dati di rete con netstat, creato attività pianificate per la persistenza, eseguito il caricamento laterale di DLL tramite il componente legittimo VipreAV vetysafe.exe e impiegato strumenti come Dcsync e Imjpuexc. La campagna mirava a mantenere un accesso stealth a lungo termine e potenzialmente compromettere i controller di dominio.

Indagine

L’indagine ha identificato una serie di tecniche ATT&CK: Ricognizione (T1595) tramite scansione di massa per servizi vulnerabili; Accesso Iniziale (T1190) utilizzando gli exploit CVE-2022-26134, CVE-2021-44228, CVE-2017-9805, CVE-2017-17562; test di Comando e Controllo con richieste curl verso siti esterni (https://www.google.com , https://www.microsoft.com , ecc.); Scoperta (T1049) utilizzando netstat per enumerare le connessioni di rete; Persistenza (T1053) tramite un’attività pianificata creata con schtasks /create /tn MicrosoftWindowsRasOutbound; Evasione Difensiva (T1574.002) tramite caricamento laterale di DLL di sbamres.dll tramite vetysafe.exe; Accesso alle Credenziali (T1003) utilizzando Dcsync per replicare i dati della directory; Esecuzione (T1059) di caricatore personalizzato e Imjpuexc. Gli strumenti osservati includevano utility di Windows legittime (netstat, schtasks), curl, msbuild.exe, vetysafe.exe (VipreAV), sbamres.dll, Dcsync, Imjpuexc e un caricatore crittografato personalizzato. Gli Indicatori di Compromissione (IOC) come i valori hash per sbamres.dll, imjpuexc.exe e il traffico di rete su hxxp://38.180.83[.]166/6CDF0FC26CDF0FC2 sono stati registrati.

Mitigazione

• • Applica immediatamente le patch a tutto il software vulnerabile, in particolare i prodotti Atlassian (CVE-2022-26134), Log4j (CVE-2021-44228), Apache Struts (CVE-2017-9805) e GoAhead (CVE-2017-17562).
• • Implementa il controllo delle applicazioni (ad es., AppLocker, Windows Defender Application Control) per bloccare l’esecuzione non autorizzata di utility comuni come curl, msbuild.exe e caricatori personalizzati da directory non standard.
• • Enforce rigorose politiche di minimo privilegio; limitare la creazione di attività pianificate solo agli amministratori autorizzati. Distribuisci regole di rilevamento per il caricamento laterale di DLL e monitora l’esecuzione di binari legittimi noti che caricano DLL inaspettate (ad es., vetysafe.exe che carica sbamres.dll).
• • Abilita il monitoraggio dell’attività Dcsync e delle richieste di replicazione anomale sui controller di dominio.
• Segmenta le reti per limitare il movimento laterale e isolare asset critici come i controller di dominio.
• • Esegui regolari scansioni di vulnerabilità e prevenzione degli exploit basata su intelligence sulle minacce in base a CVE emergenti.
•  

Risposta

• • Isola il/i host compromesso/i e qualsiasi sistema che mostri IOC simili.
• • Cattura memoria volatile e immagini disco per analisi forense.
• • Rimuovi attività pianificate dannose ed elimina file XML sconosciuti utilizzati da msbuild.exe.
• • Sostituisci o pulisci i binari compromessi (vetysafe.exe, msbuild.exe) e verifica le firme.
• • Ruota le credenziali, specialmente per account privilegiati e account admin di dominio; effettua audit per dumping di credenziali.
• • Blocca il traffico C2 in uscita verso l’host malevolo (hxxp://38.180.83[.]166).
• • Effettua un audit completo dei controller di dominio per garantire che non rimangano backdoor o meccanismi di persistenza.
• • Aggiorna le firme di rilevamento nei strumenti SIEM ed endpoint per gli strumenti osservati e gli IOC.
•  

Istruzioni di Simulazione

• Narrativa d’Attacco e Comandi:

  1. Persistenza tramite msbuild.exe – L’attaccante crea un progetto XML malevolo (evil.xml) che esegue un payload PowerShell per scaricare una DLL back-door.
  2. Caricamento laterale di DLL con vetysafe.exe – Una DLL malevola (evil.dll) viene posizionata accanto a vetysafe.exe; l’esecuzione di vetysafe.exe carica la DLL, ottenendo l’esecuzione di codice (T1055.001/T1574.001).
  3. Ricognizione di rete con netstat.exe – L’attaccante esegue netstat -ano per enumerare le connessioni attive, raccogliendo dati per il movimento laterale (T1049).

• Script di Test di Regressione:

  # ---------------------------------------------------------
  # Simulazione d'Attacco – attiva la regola Sigma per vetysafe, msbuild, netstat
  # ---------------------------------------------------------
  
  # 1. Prepara DLL malevola (semplice allerta per demo)
  $dllPath = "$env:TEMPevil.dll"
  Set-Content -Path $dllPath -Value ([byte[]](0x4D,0x5A,0x90,0x00)) # Fake PE header
  
  # 2. Copia vetysafe.exe (si presume presente in C:WindowsSystem32) nella cartella temporanea
  $vetysafe = "$env:SystemRootSystem32vetysafe.exe"