Cambiano strategia gli attacchi alla cybersecurity. E nel mirino finiscono i sistemi operativi multi-cloud basati su Linux, che si trasformano in questo modo in “porta d’ingresso” a servizi di infrastrutture critiche e a dati riservati. Lo rivela un rapporto VMware secondo cui si tratta di un’ulteriore evoluzione del ransomware.
Le contromisure sono focalizzate solo su Windows
“Invece che infettare un endpoint e poi navigare verso un obiettivo di maggior valore – spiega Giovanni Vigna, senior director of threat intelligence di VMware -, i criminali informatici hanno scoperto che la compromissione di un singolo server può fornire l’enorme guadagno e l’accesso che stanno cercando. Gli aggressori vedono sia i cloud pubblici che quelli privati come obiettivi di alto valore a causa dell’accesso che forniscono ai servizi di infrastrutture critiche e ai dati riservati. Sfortunatamente, le attuali contromisure del malware sono per lo più focalizzate sull’affrontare le minacce basate su Windows, lasciando molte implementazioni di cloud pubbliche e private vulnerabili agli attacchi ai sistemi operativi basati su Linux”.
Poiché il malware che prende di mira i sistemi operativi basati su Linux aumenta sia in volume che in complessità in un panorama di minacce in rapida evoluzione, le organizzazioni – si legge nel report – “devono dare priorità al rilevamento delle minacce”. Ransomware, cryptominer e strumenti di accesso remoto le minacce più diffuse ai sistemi operativi basati su Linux.
Attacco al cloud: minimo sforzo, massimo danno
Essendo una delle principali cause di violazione per le organizzazioni, un attacco ransomware di successo su un ambiente cloud può avere conseguenze devastanti. Gli attacchi ransomware contro le implementazioni cloud sono mirati e sono spesso combinati con l’esfiltrazione dei dati, implementando uno schema di doppia estorsione che migliora le probabilità di successo.
L’analisi mostra che il ransomware basato su Linux si sta evolvendo per colpire le immagini host utilizzate per far girare i carichi di lavoro negli ambienti virtualizzati. Gli attaccanti sono ora alla ricerca delle risorse più preziose negli ambienti cloud per infliggere la massima quantità di danni al bersaglio. Gli esempi includono la famiglia di ransomware Defray777, che ha criptato le immagini host sui server ESXi, e la famiglia di ransomware DarkSide, che ha paralizzato le reti di Colonial Pipeline e causato una carenza di benzina a livello nazionale negli Stati Uniti.
Come funzionano gli attacchi di cryptojacking
I criminali informatici alla ricerca di una ricompensa monetaria istantanea spesso prendono di mira le criptovalute utilizzando uno dei due approcci: o includono la funzionalità di furto del portafoglio nel malware o monetizzano i cicli di Cpu rubati per estrarre con successo le criptovalute in un attacco chiamato cryptojacking. La maggior parte degli attacchi di cryptojacking si concentrano sul mining della valuta Monero: VMware ha scoperto che l’89% dei cryptominer ha usato librerie legate a XMRig. Per questo motivo, quando vengono identificate librerie e moduli specifici per XMRig, è probabile che sia la prova di un comportamento malevolo di cryptomining. VMware ha anche osservato che evadere la difesa è la tecnica più comunemente usata dai cryptominer basati su Linux. Purtroppo, poiché gli attacchi di cryptojacking non interrompono completamente le operations degli ambienti cloud come il ransomware, sono molto più difficili da rilevare.
Cobalt Strike “chiave” di accesso remoto
Per ottenere il controllo di un ambiente, gli aggressori cercano di installare un impianto su un sistema compromesso che dia loro il controllo parziale della macchina. Uno dei principali impianti utilizzati dagli aggressori è Cobalt Strike, tool di sicurezza, e la sua recente variante di Vermilion Strike basata su Linux. Dal momento che Cobalt Strike è una minaccia così onnipresente su Windows, l’espansione al sistema operativo Linux dimostra la volontà degli “attaccanti” di utilizzare strumenti facilmente disponibili che prendono di mira quante più piattaforme possibili.
VMware ha scoperto più di 14mila Cobalt Strike Team Servers attivi su Internet tra febbraio 2020 e novembre 2021. La percentuale totale di ID clienti di Cobalt Strike craccati e trapelati è del 56%, il che significa che più della metà degli utenti di Cobalt Strike potrebbero essere criminali informatici, o almeno utilizzare Cobalt Strike in modo illecito. Il fatto che i RAT come Cobalt Strike e Vermilion Strike siano diventati uno strumento di base per i criminali informatici rappresenta una minaccia significativa per le imprese.
Alle aziende serve un approccio “Zero Trust”
“Da quando abbiamo condotto la nostra analisi, sono state osservate ancora più famiglie di ransomware che gravitano sul malware basato su Linux, con il potenziale per ulteriori attacchi che potrebbero sfruttare le vulnerabilità di Log4j – spiega Brian Baskin, manager of threat research di VMware -. I risultati di questo rapporto possono essere utilizzati per comprendere meglio la natura del malware basato su Linux e mitigare la crescente minaccia che ransomware, cryptomining e Rat hanno sugli ambienti multi-cloud. Poiché gli attacchi che prendono di mira il cloud continuano a evolversi, le organizzazioni dovrebbero adottare un approccio Zero Trust per incorporare la sicurezza in tutta la loro infrastruttura e affrontare sistematicamente i vettori di minacce che costituiscono la loro superficie di attacco”.
