L’APT SideWinder ha attaccato diversi porti nell’Oceano Indiano e nel Mar Mediterraneo

Il BlackBerry Research and Intelligence Team ha scoperto una nuova campagna del gruppo APT indiano SideWinder che ha colpito diversi porti e infrastrutture marittime nell’Oceano Indiano e nel Mar Mediterraneo per scopi di intelligence.

Conosciuto anche come Razor Tiger, Rattlesnake e T-APT-04, il gruppo è attivo almeno dal 2012 ed è uno degli APT più longevi. Fin dall’inizio i cybercriminali hanno colpito aziende e obiettivi militari e governativi, soprattutto in Pakistan, Afghanistan, Cina e Nepal.

Pixabay

I ricercatori spiegano che SideWinder utilizza lo spear-phishing via email e tecniche di DLL side-loading per eludere i controlli di sicurezza. Il gruppo invia documenti malevoli alle vittime mascherandoli da file legittimi, inserendo loghi, nomi e temi usati dall’azienda in cui lavorano gli utenti.

Il titolo e il contenuto dei documenti gioca su un senso di urgenza e sull’instillare la paura negli utenti, in modo che aprano immediatamente il file. In un esempio riportato dai ricercatori, il file era un rapporto su un presunto caso di molestie sessuali per il quale l’utente era indagato; in altri casi, i documenti parlavano di possibili licenziamenti o tagli di salario.

Leggendo il contenuto del file, le vittime erano talmente distratte che non notavano eventi strani sul dispositivo, come popup che si aprivano all’improvviso o un aumento elevato dell’uso della CPU, segnali di un’infezione malware.

I documenti creati dal gruppo sfruttano una tecnica di remote template injection basata sulla CVE-2017-0199, una vulnerabilità nota e risolta di Microsoft Office. “La patch per questa CVE è disponibile dal 2017, quindi gli attaccanti stanno scommettendo sul fatto che molte grandi organizzazioni con infrastrutture obsolete, frammentate o antiquate potrebbero avere degli endpoint non patchati adeguatamente” scrivono i ricercatori.

Una volta aperto il file, viene scaricato un file RTF che sfrutta la CVE-2017-11882 per eseguire una shellcode, la quale controlla se il sistema è un ambiente virtuale o “reale”. La shellcode controlla inoltre il tipo di processore e prosegue con la catena d’infezione solo se è Intel o AMD. Se le promesse sono favorevoli, la shellcode prosegue con l’esecuzione di BlackBerry Research and Intelligence Teamodice JavaScript che imposta la connessione col server C2 degli attaccanti al quale inviare le informazioni raccolte.

Pixabay

Il gruppo ha colpito strutture in Pakistan, Egitto, Sri Lanka, Bangladesh, Myanmar, Nepal e nelle Maldive. I ricercatori del BlackBerry Research and Intelligence Team spiegano che il gruppo sta migliorando la propria infrastruttura per colpire nuove vittime e spostarsi in nuove regioni, quindi nel prossimo futuro ci si aspettano nuove campagne a opera di SideWinder.

Per proteggersi da questi attacchi i ricercatori consigliano di applicare le patch disponibili per software e sistemi, implementare soluzioni per il filtraggio delle email e investire sulla formazione del personale contro gli attacchi di phishing.