Ransomware LeakNet

Il ransomware LeakNet ha introdotto una notevole evoluzione nelle tattiche di intrusione, sfruttando la tecnica di ingegneria sociale ClickFix come principale vettore di accesso. Questo approccio manipola gli utenti inducendoli a eseguire comandi dannosi con il pretesto di risolvere falsi errori di sistema. A differenza dei metodi di accesso tradizionali, come l'acquisto di credenziali rubate da intermediari di accesso iniziali, questa tattica sfrutta direttamente la fiducia e le abitudini di routine degli utenti.

Siti web compromessi, ma altrimenti legittimi, vengono sfruttati per mostrare false richieste di verifica CAPTCHA. Queste richieste istruiscono gli utenti a copiare ed eseguire un comando dannoso, msiexec.exe, tramite la finestra di dialogo Esegui di Windows. Poiché l'interazione simula le normali attività di sistema, l'attacco appare di routine ed evita di destare sospetti immediati. Questa strategia, ampia e opportunistica, consente di colpire indiscriminatamente diversi settori.

Cambio di strategia: indipendenza dagli intermediari di accesso iniziale

Il passaggio di LeakNet a ClickFix rappresenta un cambiamento operativo ponderato. Eliminando la dipendenza da fornitori di credenziali di terze parti, il gruppo riduce sia i costi che i tempi di attesa associati all'acquisizione degli accessi. Questa indipendenza elimina un collo di bottiglia fondamentale, consentendo alle campagne di espandersi più rapidamente ed efficacemente.

Inoltre, l'utilizzo di infrastrutture legittime compromesse anziché di sistemi controllati dagli aggressori riduce significativamente gli indicatori di rete rilevabili. Ciò rende meno efficaci le tradizionali difese perimetrali, poiché l'attività malevola si mimetizza perfettamente con il traffico attendibile.

Esecuzione senza file: il loader basato su Deno in azione

Una caratteristica tecnica distintiva di questi attacchi è l'implementazione di un caricatore di comando e controllo a fasi, basato sul runtime JavaScript di Deno. Questo caricatore esegue codice JavaScript codificato in Base64 direttamente in memoria, evitando scritture su disco e riducendo al minimo le tracce forensi.

Una volta attivato, il caricatore svolge diverse funzioni critiche:

• Descrive il sistema compromesso per la raccolta di informazioni ambientali.
• Stabilisce la comunicazione con un server esterno per recuperare i payload secondari
• Garantisce la persistenza tramite un meccanismo di polling che recupera ed esegue continuamente codice aggiuntivo.

Questo modello di esecuzione senza file aumenta la furtività e complica i tentativi di rilevamento da parte dei tradizionali strumenti di sicurezza.

Manuale operativo coerente per la fase post-sfruttamento

Nonostante le variazioni nelle modalità di accesso iniziale, le operazioni di LeakNet convergono in un flusso di lavoro post-compromissione prevedibile. Questa coerenza offre ai difensori preziose opportunità di rilevamento e interruzione prima della diffusione del ransomware.

La tipica sequenza di attacco comprende:

• Caricamento laterale di DLL per eseguire librerie dannose fornite dal loader
• Movimento laterale tramite strumenti come PsExec per espandere l'accesso alla rete
• Ricognizione delle credenziali tramite cmd.exe /c klist per identificare le sessioni di autenticazione attive
• Preparazione ed esfiltrazione dei dati tramite bucket S3, mascherando l'attività come traffico cloud legittimo.
• Fase finale di crittografia per la distribuzione del ransomware

L'utilizzo di strumenti nativi di Windows e di servizi cloud comuni consente alle azioni dannose di mimetizzarsi nel normale funzionamento del sistema e della rete.

Profilo della minaccia: origini e ambito di applicazione

Nata nel novembre 2024, LeakNet si è inizialmente presentata come un "cane da guardia digitale", promuovendo i temi della trasparenza e della libertà di internet. Tuttavia, l'attività osservata rivela una portata operativa più ampia e aggressiva, che include attacchi contro organizzazioni industriali.

La strategia di targeting indiscriminato della campagna, combinata con metodi di contagio scalabili, sottolinea l'intento di massimizzare la portata piuttosto che concentrarsi su settori specifici.

Implicazioni difensive: la prevedibilità come vantaggio

Sebbene le tecniche di intrusione di LeakNet si siano evolute, la sua dipendenza da una catena di sfruttamento ripetibile introduce una debolezza critica. Ogni fase dell'attacco, dall'esecuzione al movimento laterale e all'esfiltrazione dei dati, segue schemi comportamentali identificabili.

Questa coerenza consente ai difensori di:

• Rilevare l'uso anomalo di strumenti di sistema legittimi
• Monitorare i modelli di esecuzione in memoria anomali
• Identificare interazioni sospette con i servizi di archiviazione cloud
• Interrompere l'esecuzione dell'attacco prima che avvenga la crittografia.

Il punto fondamentale è chiaro: sebbene i metodi di accesso iniziali possano variare, il modello operativo di base rimane stabile, offrendo molteplici opportunità di individuazione e risposta tempestive.