Gli esperti di Kaspersky hanno identificato una versione precedentemente sconosciuta della backdoor Loki, utilizzata in una serie di attacchi mirati contro almeno 12 aziende russe.
Le violazioni si sono verificate in vari settori, tra cui quello ingegneristico e sanitario. Il malware, che Kaspersky ha identificato come Backdoor.Win64.MLoki, è una versione private agent del framework open-source di post-exploitation Mythic.
Loki colpisce i computer degli utenti tramite e-mail di phishing con allegati dannosi che vengono inviati inconsapevolmente dagli stessi. Una volta installato, Loki fornisce all’aggressore funzioni avanzate sul sistema compromesso, come la gestione dei token di accesso a Windows, l’iniezione di codice nei processi in esecuzione e il trasferimento di file tra il computer infetto e il server di comando e controllo.
“La popolarità dei framework open-source post-exploitation è in crescita e, sebbene siano utili per migliorare la sicurezza delle infrastrutture, abbiamo osservato che gli aggressori adottano e modificano sempre più spesso questi framework per diffondere malware”, ha affermato Artem Ushkov, Research Developer di Kaspersky. “Loki è l’ultimo esempio di come gli aggressori testino e applichino vari framework per scopi malevoli e li modifichino per ostacolare il rilevamento e il riconoscimento”.
Lo stesso agent Loki non supporta il tunneling del traffico, quindi gli aggressori utilizzano utility disponibili pubblicamente come ngrok e gTunnel per accedere a segmenti di rete privati. Kaspersky ha scoperto che, in alcuni casi, l’utility gTunnel è stata modificata utilizzando goreflect per eseguire il codice dannoso nella memoria del computer preso di mira, evitando così il rilevamento.
Al momento, non ci sono dati sufficienti per attribuire Loki a un gruppo noto di attori delle minacce. Tuttavia, l’analisi di Kaspersky suggerisce che gli aggressori approcciano con attenzione ogni singolo obiettivo, piuttosto che affidarsi a modelli di e-mail di phishing standard.
Per massimizzare la sicurezza dell’azienda, Kaspersky consiglia di:
- Non utilizzare i servizi di remote desktop, come RDP, su reti pubbliche se non assolutamente necessario e scegliere sempre password sicure.
- Assicurarsi che la propria VPN commerciale e altre soluzioni software lato server siano sempre aggiornate, poiché lo sfruttamento di questo tipo di software è un vettore comune di infezione da ransomware. Aggiornare sempre le applicazioni lato client.
- Concentrare la propria strategia di difesa sul rilevamento dei movimenti laterali e dell’esfiltrazione dei dati attraverso Internet. Prestare particolare attenzione al traffico in uscita per individuare le connessioni dei criminali informatici. Eseguire regolarmente backup dei dati. Assicurarsi di potervi accedere rapidamente in caso di emergenza. Utilizzare le ultime informazioni di Threat Intelligence per restare aggiornati sulle ultime TTP utilizzate dagli attori delle minacce.
- Utilizzare i servizi di Managed Detection and Response per identificare e bloccare un attacco nelle fasi iniziali, prima che gli aggressori raggiungano i loro obiettivi finali.
- Per proteggere l’ambiente aziendale, è necessario formare i dipendenti. Possono essere utili i corsi di formazione, come quelli forniti da Kaspersky Automated Security Awareness Platform.
- Utilizzare soluzioni di sicurezza complesse, che combinano protezione degli endpoint e funzioni di risposta automatica agli incidenti, come Kaspersky Next.
