Operation In(ter)ception: anatomia di un attacco mirato
La campagna ha preso di mira bersagli in Europa e in Medioriente. Ecco come agiscono i cyber-spioni che collaborano con i governi stranieri.
Il modus operandi dei gruppi APT (Advanced Persistent Threat) è qualcosa che, per gli appassionati di cyber security, rappresenta un elemento di sicuro interesse. A differenza dei loro colleghi attivi nel settore della “semplice” criminalità informatica, infatti, adottano tecniche estremamente elaborate.
Il caso legato alla Operation In(ter)ception conferma la tendenza e rappresenta un cristallino esempio di attacco informatico che segue un’attenta pianificazione strutturata in più fasi.
Come raccontano i ricercatori di ESET in un rapporto che descrive le modalità utilizzate dai pirati informatici, l’attacco utilizza come vettore iniziale un messaggio apparentemente collegato a LinkedIn.
Nel caso specifico, gli hacker hanno preso di mira professionisti operanti nel settore aerospaziale impiegati in varie aziende europee e mediorientali, inviando loro una (falsa) proposta di assunzione apparentemente proveniente da un dirigente di Collins Aerospace, un’azienda piuttosto conosciuta nel settore.
Il messaggio serve come esca iniziale, che consente ai pirati di stabilire una corrispondenza con la potenziale vittima. Nel prosieguo dell’attacco, i pirati intavolano una vera e propria trattativa in cui inducono la vittima a credere di essere oggetto del loro interesse per un’assunzione.
Il colpo di grazia arriva al momento dell’invio della proposta economica: il file che contiene lo stipendio prospettato per l’assunzione viene infatti inviato attraverso un archivio compresso in formato RAR che contiene un documento LNK.
Quando il contenuto viene aperto, sul computer della vittima viene visualizzato un documento PDF con un contenuto del tutto normale. Dietro le quinte, però, sta accadendo ben altro: l’apertura avvia infatti l’esecuzione di un Command Prompt che pianifica l’avvio in remoto di uno script XML.
L’obiettivo dei pirati, secondo i ricercatori, sarebbe quello di ottenere informazioni sulle credenziali di rete in prospettiva di portare attacchi di brute forcing per comprometterle. Insomma: si tratterebbe di un classico attacco di phishing che punta a garantire un punto di accesso e permetter un conseguente movimento laterale all’interno della rete.
L’analisi del malware, per quanto riguarda l’attribuzione, evidenzierebbe alcune similitudini con il gruppo Lazarus (connesso al governo della Nord Corea) ma, nel report, i ricercatori non si sbilanciano più di tanto. Quello che è certo è che In(ter)ception è un’operazione di alto livello che rientra a pieno titolo nella categoria dello spionaggio di stato.
Condividi l’articolo
Articoli correlati
Altro in questa categoria
https://www.securityinfo.it/2020/06/18/operation-interception-anoatomia-di-un-attacco-mirato/?utm_source=rss&utm_medium=rss&utm_campaign=operation-interception-anoatomia-di-un-attacco-mirato