Minacce persistenti avanzate che ora mescolano vecchie e nuove tecniche per rimanere aggiornati

I gruppi di hacking Advanced Persistent Threat (APT) continuano a infestare il WEB come al solito. Per rimanere rilevanti, tuttavia, gli attori responsabili stanno mescolando formule di infezione della vecchia scuola con innovazioni tecniche, cavalcando argomenti e temi popolari per migliorare i loro approcci di ingegneria sociale. Nel corso degli ultimi mesi, Deathstalker e MosaicRepressor sembrano avere alzato il loro gioco utilizzando gli strumenti dalle estremità opposte dello spettro. Mentre il primo è rimasto in gran parte fedele alle loro armi, il secondo ha tentato di rompere gli schemi e portare le infezioni da malware al livello successivo.

Se non è rotto, non aggiustarlo

Sono passati quasi due anni da quando la banda APT di DeathStalker ha intaccato la sicurezza web delle organizzazioni nei sistemi finanziari e giudiziari implementando schemi di phishing per raccogliere dati sensibili. Sebbene DeathStalker continui a utilizzare le stesse vecchie truffe di phishing quando si avvicina a potenziali vittime, il gruppo ha apparentemente adottato alcune modifiche lungo la strada. Invece di utilizzare risolutori dead drop e altri punti di condivisione del codice per dedicarsi allo spionaggio, gli attori di DeathStalker ora reindirizzano il malware in gioco direttamente a un server C&C dedicato. Inoltre, sembra che abbiano intensificato i loro attacchi di phishing per massimizzare anche le loro prospettive di un attacco riuscito. Anche i nuovi impianti PowerShell incorporati negli allegati di posta elettronica sembrano essere entrati nell'equazione.

APT high-tech

MosaicRegressor, d'altra parte, dispone di strumenti di distribuzione del malware più sofisticati. Che APT sfrutta le vulnerabilità EUFI per piantare i semi di un'infezione a livello di firmware. Pertanto, il malware rilasciato tramite MosaicRegressor è praticamente impossibile da sconfiggere a meno che non si sostituisca l'intero firmware UEFI compromesso sul PC. Dal momento che UEFI viene caricato prima del sistema operativo, così fa il malware, con l'implicazione che sarà ancora lì anche dopo aver disinstallato il sistema operativo o aver acquistato un'unità disco rigido completamente nuova. Finora, i principali obiettivi dell'APT su misura dell'UEFI sono sia organizzazioni governative che non governative che occupano la regione dell'Asia sud-occidentale e hanno legami con la Corea del Nord in un modo o nell'altro.