Nell’ultimo report di Kaspersky sulle tendenze delle APT (Advanced Persistent Threats) per il secondo trimestre del 2023, i ricercatori hanno analizzato lo sviluppo di campagne nuove e già esistenti. Il report evidenzia l’attività delle APT in questo periodo, tra cui l’aggiornamento dei set di strumenti, la creazione di nuove varianti di malware e l’adozione di nuove tecniche da parte degli attori delle minacce.
La scoperta della campagna di lunga durata “Operation Triangulation”, che prevede l’uso di una piattaforma malware iOS precedentemente sconosciuta, è stata un’importante rivelazione. Inoltre, gli esperti hanno osservato altri sviluppi interessanti di cui tutti dovrebbero essere a conoscenza.
Di seguito i punti salienti del report.
Tendenze APT: nella regione Asia-Pacifico scoperto un nuovo threat actor
Kaspersky ha scoperto un nuovo attore di minacce appartenente alla famiglia Elephants, operante nella regione Asia-Pacifico, denominato “Mysterious Elephant”. Nella sua ultima campagna, l’attore delle minacce ha impiegato nuove famiglie di backdoor, in grado di eseguire file e comandi sul computer della vittima e di ricevere file o comandi da un server dannoso per l’esecuzione sul sistema infetto. Sebbene i ricercatori di Kaspersky abbiano osservato sovrapposizioni con Confucius e SideWinder, Mysterious Elephant possiede un insieme di TTP unico e distintivo, che lo differenzia dagli altri gruppi.
Aggiornamento dei toolset
Gli attori delle minacce migliorano costantemente le loro tecniche: Lazarus ha aggiornato il suo framework MATA e ha introdotto MATAv5, una nuova variante della sofisticata famiglia di malware MATA. BlueNoroff, un sottogruppo di Lazarus specializzato in attacchi finanziari, impiega ora nuovi metodi di distribuzione e linguaggi di programmazione, tra cui l’uso di lettori PDF contenenti trojan nelle sue ultime campagne, l’implementazione di malware macOS e il linguaggio di programmazione Rust. Inoltre, il gruppo APT ScarCruft ha sviluppato nuovi metodi di infezione, eludendo il meccanismo di sicurezza Mark-of-the-Web (MOTW). Le tattiche in continua evoluzione di questi attori delle minacce rappresentano nuove sfide per i professionisti della cybersecurity.
Le pressioni geopolitiche restano il principale motore dell’attività delle APT
Le campagne APT sono ancora frammentate dal punto di vista geografico, con gli aggressori che concentrano gli attacchi in regioni come Europa, America Latina, Medio Oriente e diverse parti dell’Asia. Lo spionaggio informatico, con un forte impatto geopolitico, continua a essere un’attività dominante.
“Mentre alcuni attori delle minacce si attengono a tattiche note come l’ingegneria sociale, altri si sono evoluti, aggiornando gli strumenti ed espandendo le attività. Inoltre, emergono costantemente nuovi attori avanzati, come quelli che conducono la campagna “Operation Triangulation”. Questo attore utilizza una piattaforma malware iOS precedentemente sconosciuta, distribuita tramite exploit iMessage a zero clic. Per le aziende globali è fondamentale essere sempre aggiornati sulle minacce e sui giusti strumenti di difesa, in modo da potersi proteggere sia dalle minacce esistenti che da quelle emergenti. Le nostre analisi trimestrali vogliono evidenziare gli sviluppi più significativi tra i gruppi APT in modo da aiutare i responsabili della sicurezza a combattere e mitigare i rischi correlati”, ha commentato David Emm, Principal Security Researcher del Kaspersky Global Research and Analysis Team (GReAT).
Per proteggersi dagli attacchi mirati da parte di attori noti o sconosciuti, Kaspersky consiglia di:
- Eseguire costantemente l’aggiornamento del sistema operativo e di altri software di terze parti alle versioni più recenti per garantire la sicurezza del sistema. L’aggiornamento regolare del sistema è essenziale per essere protetti da potenziali vulnerabilità e rischi per la sicurezza.
- Aggiornare il vostro team di cybersecurity per affrontare le ultime minacce mirate con la formazione online Kaspersky sviluppata dagli esperti del GReAT.
- Utilizzare le ultime informazioni di Threat Intelligence per rimanere aggiornati sulle attuali TTP utilizzate dagli attori delle minacce e sulle tendenze APT.
- Implementare soluzioni EDR come Kaspersky Endpoint Detection and Response per il rilevamento a livello di endpoint, le indagini e la risoluzione tempestiva degli incidenti.
- Utilizzare servizi dedicati che possono aiutare a combattere gli attacchi di alto profilo. Il servizio Kaspersky Managed Detection and Response può contribuire a identificare e bloccare le intrusioni nelle fasi iniziali, prima che gli autori raggiungano i loro obiettivi. Se si verifica un incidente, il servizio Kaspersky Incident Response aiuta a reagire e a ridurre al minimo le conseguenze, in particolare a identificare i punti compromessi e a proteggere l’infrastruttura da attacchi simili in futuro.
