Operazioni digitali false flag: una guida pratica

Nell'era digitale odierna, la minaccia degli attacchi informatici è una preoccupazione costante sia per le organizzazioni che per gli individui. Una tattica che ha attirato l'attenzione negli ultimi anni è l'uso di operazioni sotto falsa bandiera. Ma cos'è esattamente un'operazione sotto falsa bandiera e come viene utilizzata nel regno della sicurezza informatica?

Questo post esamina possibili metodi e tecniche per falsificare la fonte di malware e intrusioni con l'intento di far luce su come gli analisti delle minacce potrebbero essere ingannati.

Questo post copre:

• Ingannare utilizzando tecniche note e strumenti di sfruttamento
• Aggiunta di false flag all'interno del malware utilizzando esclusioni specifiche della regione
• Aggiunta di commenti di codice specifici della lingua nel malware
• Riutilizzo di codice trapelato o open-source da noti autori di minacce
• Rivendicare operazioni scoperte sotto false identità

Gli autori di minacce, le persone incaricate di tracciare, identificare e accreditare gli autori di attacchi informatici, utilizzano gli indicatori di minaccia per tracciare e identificare gli avversari. Una fonte popolare di questi indicatori (tecniche e software) è raccolta e pubblicata qui dalla società MITRE.

Si tratta di un database molto utile e rispettato, che attualmente contiene le tecniche e il software utilizzati da 135 autori di minacce identificati. Tuttavia, questo database è utile anche per gli stessi attori delle minacce.

Possono scegliere di eseguire intenzionalmente attacchi su e all'interno delle reti per soddisfare le tecniche utilizzate da diversi gruppi malintenzionati. Ciò porterebbe gli analisti della sicurezza sulla strada sbagliata e creerebbe una cortina fumogena digitale.

Un esempio:

In primo luogo, come attore di minacce, devi trovare un gruppo noto che abbia il potenziale per prendere di mira la tua stessa vittima. Questa può essere un'azienda nel settore finanziario, un'infrastruttura vitale in un paese diverso, il tuo panificio locale, lo chiami.

Per questo esperimento, inseguiremo un istituto finanziario immaginario in Europa. Ora, esaminiamo l'elenco degli autori di minacce noti con lo stesso gruppo target. Una rapida ricerca su Google risulta nei seguenti possibili gruppi: FIN7, Monkey Taker, MetaStrike, Lazarus, Carbanak.

Facciamo in modo che il gruppo FIN7 si prenda la colpa della nostra operazione! MITRE ci mostra un elenco di tecniche di sfruttamento note utilizzate:https://attack.mitre.org/groups/G0046/.

Spiccano alcune azioni specifiche:

• FIN7 utilizza il sito di condivisione file MEGA per l'esfiltrazione dei dati
• FIN7 ha creato un'attività pianificata denominata "AdobeFlashSync" per stabilire la persistenza.
• FIN7 ha sfruttato ZeroLogon (CVE-2020–1472) contro controller di dominio vulnerabili.

Aggiunta di false flag all'interno del malware utilizzando esclusioni specifiche della regione

Venerdì 2 luglio 2021 il gruppo di minacce REvil commette un attacco ransomware mondiale sfruttando il software Kaseya VSA per fornire un payload dannoso. Il ransomware verificherebbe l'installazione di determinate lingue della tastiera. Nello specifico, tastiere che utilizzano lo script cirillico. Se questo fosse configurato, il ransomware non infetterebbe ulteriormente il sistema. REvil lo ha utilizzato come un dispositivo di sicurezza integrato progettato per coprire le spalle dell'attore della minaccia.

Immagina come l'implementazione di una tale funzionalità possa essere utilizzata per creare un falso flag. Per prima cosa controlla che le regioni, le lingue e le tastiere specifiche siano installate sui sistemi di un paese di cui vuoi prenderti la colpa per le tue azioni ed escludi il tuo malware per queste macchine. Questo pezzo di codice non deve nemmeno essere operativo fintanto che esiste nel payload utilizzato nell'operazione.

Aggiunta di commenti di codice specifici della lingua nel malware

Gli attori malintenzionati spesso utilizzano linguaggi di scripting per mettere in scena il malware. Quelli comunemente usati sono PowerShell, Bash e Python. L'immagine seguente mostra uno script utilizzato dagli attori delle minacce per installare un cryptojacker su una destinazione. Come puoi vedere, utilizza la lingua inglese per i nomi delle funzioni e i commenti sul codice.

La traduzione intenzionale di nomi di funzioni e commenti in script dannosi, ad esempio, in caratteri cirillici o mandarino potrebbe essere utilizzata per distrarre gli analisti della sicurezza che lavorano per attribuire il malware a un attore specifico.

Riutilizzo di codice trapelato o open-source da noti autori di minacce

Molti framework di hacking e kit di exploit vengono trapelati su Internet. Utilizzando MITRE, possiamo risalire al tipo di kit di exploit utilizzati da specifici attori delle minacce. Ad esempio, FIN7 è noto per utilizzare il seguente software: AdFind, BOOSTWRITE, Carbanak, Cobalt Strike, CrackMapExec, GRIFFON, HALFBAKED, JSS Loader, Lizar, Mimikatz, Pillowmint, POWERSOURCE, PowerSploit, RDFSNIFFER, REvil, SQLRat, TEXTMATE

Da molti di questi strumenti è disponibile il codice sorgente. Riutilizzarlo nel tuo attacco migliorerebbe ulteriormente la tua cortina fumogena digitale. Inoltre, potrebbero essere trapelati kit di exploit, come la backdoor utilizzata da FIN7 per i loro attacchi. Il riutilizzo o l'eliminazione di tali payload nelle reti target sarebbe sicuramente fuorviante per gli analisti della sicurezza.

Rivendicare operazioni scoperte sotto false identità

Come ultima risorsa, un attore della minaccia può utilizzare strumenti al di fuori dell'ambito dell'operazione originale. Diciamo che ti sei infiltrato con successo in un bersaglio e in seguito scoprono che si è verificata una violazione. Ora puoi utilizzare falsi account di social media per rivendicare l'attacco o vendere informazioni rubate sotto falsa identità collegate ai gruppi/individui di cui vuoi incolpare.

Chi eseguirà queste operazioni?

È importante notare che il tipico attore di minacce non utilizzerebbe false flag per oscurare i propri attacchi poiché ciò aumenterebbe la probabilità di rilevamento. Abili e sofisticati malintenzionati farebbero anche attenzione a non rendere troppo evidenti i loro false flag, poiché ciò solleverebbe sospetti e rivelerebbe agli analisti delle minacce che sono stati ingannati. Le operazioni informatiche false flag vengono utilizzate principalmente allo scopo di creare confusione e diffondere disinformazione, che può essere impiegata da attori statali per guadagni strategici. È importante non essere ingenui riguardo al potenziale utilizzo di tali tattiche.

Lo scopo di questo post non è quello di istruire le persone con intenzioni nefaste su come nascondere le loro azioni, poiché ciò complicherebbe solo i miei sforzi. Queste tecniche sono ben note e utilizzate in natura. La mia intenzione è sottolineare l'importanza di un esame approfondito durante il processo di triage, poiché le cose potrebbero non essere sempre come sembrano inizialmente.

Spesso lo faranno, ma l'esame di obiettivi di alto valore potrebbe richiedere uno sguardo più approfondito. Attribuire erroneamente gli attacchi informatici può avere conseguenze nel mondo reale ed essere utilizzato come strumento per la disinformazione. Pertanto, è fondamentale garantire che i nostri risultati siano correttamente attribuiti.

Grazie per aver letto e stai attento!