Gli attaccanti che si spacciavano per personale IT su Microsoft Teams hanno trasformato sessioni remote approvate dagli utenti in accesso ai sistemi di autenticazione aziendali, in due intrusioni analizzate da Microsoft Threat Intelligence. Il rapporto del 30 ottobre descrive come le configurazioni non sicure dei certificati abbiano reso possibili gli attacchi, e in un caso l'intrusione è progredita fino al furto di dati nonostante il contenimento automatico.
I risultati riguardano le organizzazioni che utilizzano Active Directory Certificate Services (AD CS), l'infrastruttura di Microsoft per l'emissione di certificati digitali. Altre segnalazioni riguardano gli avvisi su spyware Apple ricevuti da parlamentari tedeschi e personalità pubbliche, e l'estradizione di un cittadino canadese accusato di aver hackerato computer di università statunitensi per estrarre criptovalute.
Da una chiamata di supporto all'autenticazione privilegiata
Microsoft ha indagato su due intrusioni condotte manualmente da operatori umani, iniziate con messaggi e chiamate su Teams in cui gli attaccanti si fingevano personale del servizio di assistenza. Gli attaccanti convincevano gli utenti ad approvare l'accesso remoto, soprattutto aprendo Quick Assist e fornendo un codice di connessione. Nell'attività più ampia, nomi di tenant riconducibili all'organizzazione onmicrosoft.com e nomi visualizzati legati al supporto aiutavano i contatti esterni a sembrare familiari.
Gli attacchi si basavano sull'ingegneria sociale e su impostazioni di AD CS non sicure o troppo permissive, non su una vulnerabilità di Teams. Microsoft non ha attribuito l'attività a uno specifico attore di minaccia.
Dopo aver ottenuto il controllo, gli attaccanti hanno inserito un archivio nella cartella Download dell'utente, lo hanno estratto in una nuova directory con prefisso KB sotto il profilo utente e hanno avviato script tramite runtime portabili di Python, Bun o Java. Bun è un runtime JavaScript; in una variante, il suo eseguibile era stato rinominato ma conservava i metadati di versione originali. Un'altra variante usava un runtime Java portabile per eseguire un file sorgente Java.
Gli script controllavano le versioni di Windows, le impostazioni di rete e i processi in esecuzione, poi valutavano i servizi di certificazione. La workstation compromessa si connetteva anche all'infrastruttura di dominio tramite LDAPS, un protocollo cifrato per l'accesso alle directory, e tramite SMB, usato per la condivisione di file Windows e altre operazioni di rete.
Le due intrusioni hanno poi preso strade diverse:
- Il caso 1 ha usato l'abuso del modello di certificato ESC1. Un modello configurato male permetteva a un richiedente con privilegi limitati di indicare un'altra identità e ottenere certificati di autenticazione per account privilegiati. L'attaccante ha eseguito DCSync, che sfrutta la replica della directory per ottenere dati di credenziali. Microsoft ha dichiarato che la funzione di interruzione automatica degli attacchi di Defender ha limitato le identità coperte e bloccato attività successive rilevanti, ma un'identità privilegiata esclusa dal contenimento è rimasta utilizzabile e in seguito ha supportato l'esfiltrazione di dati.
- Il caso 2 ha usato il relay di autenticazione ESC8. L'attaccante ha usato PetitPotam per indurre un domain controller ad autenticarsi verso un sistema controllato dall'attaccante, poi ha inoltrato quell'autenticazione NTLM ad AD CS Web Enrollment, un'interfaccia per le richieste di certificato priva di protezioni contro il relay. L'attaccante ha ottenuto un certificato per l'account del domain controller e lo ha usato con PKINIT, l'autenticazione Kerberos basata su certificato. Dopo che Defender ha generato avvisi legati a ESC8, il cliente ha isolato la workstation associata; Microsoft non ha osservato ulteriori progressioni.
Un certificato di autenticazione emesso può restare utile indipendentemente dalla password compromessa inizialmente. Reimpostare quella password o reinstallare la prima workstation non revoca il certificato né invalida i ticket Kerberos già emessi.
Cosa possono verificare i difensori aziendali
Microsoft consiglia agli analisti di collegare la sessione di supporto remoto alle successive attività di processo, rete, identità e certificati. Il nome di un file o la sola presenza di Java o Bun è un indizio debole. Un pattern più forte è un runtime portabile che esegue script da una nuova directory scrivibile dall'utente subito dopo una sessione remota non autorizzata, seguito da comandi di discovery o connessioni all'infrastruttura di identità.
Le query di hunting pubblicate usano finestre di sette giorni per cercare chat esterne su Teams e possibili segnali di impersonificazione; cercano anche Bun o Java che eseguono file .js o .java dalle directory AppData\Roaming\KB seguite da cifre, e connessioni da questi runtime predisposti verso le porte 80, 445, 636 e 88. Altre query associano gli avvisi su relay NTLM, Certificate Services, PKINIT e ticket Kerberos alle relative prove di supporto.
La copertura di Defender include attività sospette su Teams esterni, esecuzione di script, enumerazione di AD CS e richieste di certificato, abuso di ESC1 e ESC8, relay NTLM, autenticazione Kerberos basata su certificato e DCSync. Microsoft afferma che la disponibilità degli avvisi dipende dalla configurazione e dai sensori attivati. Gli analisti dovrebbero verificare i campi disponibili, calibrare le ricerche per distinguere le attività legittime e correlare i risultati; una singola corrispondenza è un punto di partenza per l'indagine.
Microsoft ha inoltre pubblicato tre impronte SHA-256 di file:
- Script JavaScript di accesso iniziale:
85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17 - Script Python di accesso iniziale:
f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 - Script Python di accesso iniziale:
06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7
Per i team di risposta, il primo caso mostra la conseguenza pratica delle esclusioni dal contenimento: la disruption automatica può lasciare intatto l'accesso dell'attaccante quando un'identità privilegiata compromessa è al di fuori del suo perimetro.
Un imputato canadese estradato nel caso del mining universitario
In un comunicato separato del 3 novembre, il Ufficio del procuratore federale degli Stati Uniti per il Distretto Occidentale di New York ha reso noto che Ryan James Roach, 35 anni, della Saskatchewan, era stato estradato dal Canada il 28 ottobre. Roach e Mathiew James Stubbings, 41 anni, dell'Ontario, devono rispondere di accuse relative a un presunto schema per rubare credenziali e usare risorse di calcolo universitarie per estrarre criptovalute tra giugno 2016 e dicembre 2019.
L'atto d'accusa sostiene che gli imputati abbiano preso di mira istituti scolastici dotati di supercomputer nello Stato di New York, nel Tennessee, nella Carolina del Nord e nel Massachusetts. Secondo l'accusa, avrebbero studiato vulnerabilità di rete, installato malware, rubato credenziali di accesso e le avrebbero trasferite su server da loro controllati, costringendo al tempo stesso i computer delle vittime a estrarre criptovalute a loro vantaggio.
I pubblici ministeri affermano che server privati virtuali in diversi Paesi, registrati con nomi falsi, hanno distribuito malware e software di mining e hanno archiviato le credenziali rubate. Gli imputati avrebbero inoltre usato computer compromessi appartenenti a un'altra vittima per nascondere la propria identità, quindi avrebbero svolto attività di ricognizione ed esteso l'accesso all'interno delle reti. L'atto d'accusa sostiene che siano stati danneggiati almeno dieci computer protetti in un periodo di un anno e che le perdite ammontino ad almeno 5.000 dollari, compresi danni presso un istituto di istruzione superiore nella parte occidentale dello Stato di New York.
I capi d'accusa riguardano la cospirazione per ottenere informazioni da computer protetti e danneggiarli, l'ottenimento di informazioni da computer protetti e il danneggiamento intenzionale di computer protetti. Il comunicato indica una pena massima di dieci anni di carcere e una multa di 250.000 dollari. Entrambi gli imputati sono presunti innocenti fino a prova contraria.
Roach è comparso in aula per la lettura dei capi d'accusa ed è stato trattenuto in attesa di un'udienza sulla custodia cautelare fissata per il 3 novembre. In Canada erano ancora in corso le procedure di estradizione per Stubbings. Il caso è seguito a un'indagine dell'FBI e della Computer Crime and Intellectual Property Section del Dipartimento di Giustizia, con l'Office of International Affairs del dipartimento che ha assistito l'arresto e l'estradizione di Roach.
I parlamentari tedeschi ricevono avvisi di spyware Apple
L'Ufficio federale per la sicurezza delle informazioni della Germania, BSI, ha dichiarato che diversi membri del Bundestag e altre personalità pubbliche hanno ricevuto notifiche di minaccia da Apple a partire dal 29 ottobre. Gli avvisi riguardano spyware mercenari, cioè software di sorveglianza sviluppati commercialmente e storicamente usati spesso per conto di attori statali contro individui selezionati.
Secondo il BSI, Apple descrive le notifiche come avvisi altamente affidabili di essere presi di mira, anche se non stabiliscono se un attacco sia riuscito. L'agenzia raccomanda ai destinatari di considerare i propri dispositivi potenzialmente compromessi, soprattutto se hanno notato arresti anomali o un rapido consumo della batteria. Il BSI ha informato i membri del Bundestag con una lettera del 30 ottobre e ha chiesto alle persone coinvolte di contattarla direttamente.
Questo tipo di spyware può infettare un dispositivo senza alcuna interazione dell'utente, ad esempio tramite un messaggio appositamente creato che non deve essere aperto, il cosiddetto attacco zero-click. Pegasus di NSO Group è un esempio noto di questa categoria di software. Su un dispositivo compromesso, gli attaccanti possono accedere a messaggi, anche quelli dei servizi di messaggistica cifrata, chiamate, contatti, calendari e posizione, e attivare microfono e fotocamera.
Il BSI spiega che le notifiche autentiche compaiono sulla schermata di blocco dell'iPhone e nelle Impostazioni, arrivano via email agli indirizzi dell'Apple Account e appaiono in cima alla pagina dell'account dopo l'accesso. Apple non chiede ai destinatari di seguire link, aprire file, installare app o profili, né di comunicare password o codici di verifica. Chi non è sicuro dell'autenticità dovrebbe digitare direttamente nel browser account.apple.com.
I destinatari dovrebbero aggiornare subito il sistema operativo, a meno che non sia prevista un'analisi forense. Il BSI consiglia inoltre di valutare la Modalità Isolamento, disponibile in Impostazioni > Privacy e sicurezza > Modalità Isolamento, e poi di attivarla e riavviare il dispositivo. Mantenerla attiva, anche su un eventuale dispositivo sostitutivo, e installare tempestivamente gli aggiornamenti futuri. Rende più difficili i nuovi attacchi, ma non rimuove un'infezione esistente. Limita alcuni allegati, l'anteprima dei link e le chiamate FaceTime da persone sconosciute; le chiamate normali e i messaggi di testo di base continuano a funzionare.
Chi ritiene alto il rischio di compromissione dovrebbe valutare la possibilità di sostituire il dispositivo, reimpostare gli account usati su di esso e cambiare il numero di telefono. Gli ulteriori passaggi indicati dal BSI sono:
- Impostare un codice di accesso diverso per il dispositivo; Face ID e Touch ID non lo sostituiscono.
- Cambiare la password dell'Apple Account, dell'email e degli altri account, e attivare l'autenticazione a due fattori dove non è presente.
- Aggiungere un nuovo numero di telefono attendibile prima di rimuovere quello vecchio, e configurare di nuovo le app di autenticazione per ogni servizio, invece di trasferirle dal dispositivo precedente.
- Attivare il blocco della registrazione di Signal e la verifica in due passaggi di WhatsApp con nuove credenziali, poi controllare i dispositivi collegati in entrambi i servizi e nell'Apple Account, rimuovendo quelli non riconosciuti.
Il BSI chiede ai destinatari delle notifiche di segnalarle a [email protected], così da poter valutare la portata del fenomeno e fornire assistenza.
