Unit 42 è alla costante ricerca di esemplari di malware nuovi e unici che corrispondono a schemi e tattiche noti di minacce persistenti avanzate (APT). Il 19 maggio uno di questi campioni è stato caricato su VirusTotal, ricevendo un verdetto positivo da tutti i 56 fornitori che lo hanno valutato. Al di là degli ovvi problemi di rilevamento, riteniamo che questo esemplare sia significativo anche in termini di payload dannoso, comando e controllo (C2) e sviluppo.
Il campione conteneva un payload nocivo associato a Brute Ratel C4 (BRc4), il più recente strumento di simulazione di red-teaming e di attacco avversario immesso sul mercato. Sebbene questa funzionalità sia riuscita a rimanere lontana dai riflettori e sia meno conosciuta dei suoi “fratelli” Cobalt Strike, non è meno sofisticata. Al contrario, è particolarmente pericoloso in quanto specificamente progettato per evitare il rilevamento da parte degli endpoint di detection and response (EDR) e degli antivirus (AV). La sua efficacia in questo senso è chiaramente testimoniata dalla sopracitata mancanza di rilevamento da parte di tutti i fornitori su VirusTotal.
In termini di C2, Unit 42 ha riscontrato che l’esemplare ha chiamato un indirizzo IP di Amazon Web Services (AWS) situato negli Stati Uniti sulla porta 443. Inoltre, il certificato X.509 sulla listening port era configurato per impersonare Microsoft con un nome di organizzazione “Microsoft” e un’unità organizzativa “Security”. Inoltre, basandoci sul certificato e su altri artefatti, abbiamo identificato un totale di 41 indirizzi IP pericolosi, nove campioni BRc4 e altre tre organizzazioni in Nord e Sud America finora colpite.
Questo campione unico è stato sviluppato in modo simile alle tecniche note di APT29 e alle sue recenti campagne che hanno sfruttato note applicazioni di cloud storage e collaborazione online. In particolare, è stato confezionato come ISO autonoma che includeva un file di collegamento a Windows (LNK), un DLL payload dannoso e una copia legittima di Microsoft OneDrive Updater. Tuttavia, sebbene le tecniche di packaging da sole non siano sufficienti per attribuire definitivamente questo campione ad APT29, dimostrano che chi utilizza lo strumento stia ora applicando una tecnica da stato-nazione per distribuire BRc4.
Unit 42 ritiene questa ricerca significativa in quanto non solo identifica una nuova capacità di red team, non rilevabile dalla maggior parte dei fornitori di sicurezza informatica, ma soprattutto una base di utenti in crescita che, secondo il team, sta ora sfruttando tecniche di distribuzione da stato-nazione.Il blog completo fornisce una panoramica di BRc4, un’analisi dettagliata del campione dannoso, un confronto tra il suo packaging e un recente esemplare di APT29 e un elenco di indicatori di compromissione (IoC) che possono essere utilizzati per la caccia a questa attività.
