Dic 29, 2022 Marina Londei Approfondimenti, Attacchi, Campagne malware, RSS 0

Il 2022 è stato un anno proficuo per i cyberattacchi: le minacce sono state numerose e hanno colpito obiettivi sensibili. Figli di un contesto geopolitico instabile, gli attacchi dell’anno che sta per chiudersi hanno portato i team di sicurezza a rivalutare profondamente i propri sistemi e a eseguire più test per valutare la vulnerabilità dell’infrastruttura. David Klein, Cyber Evangelist presso Cymulate, ha individuato le 5 minacce più preoccupanti del 2022, ovvero quelle che hanno allertato maggiormente i team di sicurezza.

La prima è Manjusaka, un framework emerso proprio lo scorso anno che permette di creare un server C2 pronto all’uso. Creato per scopi criminali, nel 2023 si prevede un aumento del suo utilizzo dal momento che è distribuito gratuitamente. Il software è di origini cinesi ed è stato adottato dai cybercriminali in alternativa al più noto Cobalt Strike.

Tra questi troviamo PowerLess Backdoor, un info stealer e keylogger capace di superare i controlli di PowerShell per accedere ai dati contenuti nel browser. Il malware è anche in grado di cifrare file, eseguire comandi e attivare processi. Il numero di attacchi attribuiti a PowerLess è duplicato rispetto al 2021, anche se negli ultimi mesi dell’anno la minaccia sembra essersi arrestata. Il malware, di origine iraniana, è strettamente legato alle tensioni politiche della nazione; per questo motivo, si prevede che nel 2023 la frequenza degli attacchi aumenti di nuovo.

APT 41 è stato tra i gruppi più attivi dell’anno in chiusura, oltre che tra i più pericolosi. Il gruppo di hacker ha come principali obiettivi i governi degli stati U.S.A., sfruttando per lo più vulnerabilità zero-day dei software. Uno dei tool più usati da APT 41 è il Winnti Trojan, attivo ormai da quasi 10 anni e regolarmente potenziato dal gruppo.

Tra le campagne più preoccupanti troviamo Lolzarus: si tratta di una campagna di phishing diretta ai candidati del settore della difesa americano. Dietro Lolzarus c’è il gruppo Nord Coreano Lazarus, lo stesso di WannaCry e Sondy. Le loro campagne nascono da motivazioni finanziarie e politiche: il gruppo è affiliato al Reconnaissance General Bureau, servizio di intelligence nordcoreano.

La guerra al tempo dei cyberattacchi

I precedenti attacchi e campagne si inseriscono in un delicato contesto geopolitico di forte tensione tra le potenze coinvolte. La Nord Corea, in particolare, ma anche la Cina, sembrano aver iniziato diverse collaborazioni con diversi gruppi hacker. Ci sono poi altri attacchi che sono figli delle attuali guerre in atto: un altro campo di battaglia sul quale combattere.

Ne è un esempio Industroyer2, una variante di Industroyer individuata lo scorso aprile. Il malware è stato responsabile di una lunga serie di attacchi contro infrastrutture critiche ucraine, in particolare ai sistemi responsabili della gestione delle centrali elettriche e nuclear. I mezzi più utilizzati sono stati wiper, backdoor e attacchi DDoS. La linea di cyberdifesa ucraina non è sufficiente a fermare questi attacchi e la Russia, trovando un punto d’accesso esposto, ha continuato a investire sulle cyberminacce.

Nell’ultimo anno le minacce si sono evolute e molte di esse sono state finanziate da governi o organizzazioni legate a essi. Ciò ha portato a cyberattacchi ancora più pericolosi, dal momento che i governi hanno accesso a molte più risorse rispetto ai gruppi criminali. Le peggiori minacce del 2022 sono legate a tensioni geopolitiche e il trend è destinato a permanere ancora per molto.