Mandiant, a seguito di una investigazione relativa ad un incidente che ha colpito gli Stati Uniti, ha scoperto che il gruppo di attaccanti APT41 ha compromesso con successo almeno sei reti informatiche di enti governativi USA tra Maggio 2021 e Febbraio 2022.
Di seguito alcuni punti chiave discussi nel report relativo a questi attacchi di APT41:
- Sono stati compromessi almeno sei enti governativi USA, tramite lo sfruttamento di applicazioni web vulnerabili esposte su internet;
- APT41 ha sfruttato una vulnerabilità 0-day presente nell’applicazione commerciale “USAHerds”, un sistema usato per segnalare le emergenze relative alla salute degli animali e utilizzato in 18 Stati degli USA e che “consente di rispondere tempestivamente alle National Priority Traces (NPT), così come alle segnalazioni relative a problematiche che coinvolgono gli animali”;
- A seguito di analisi e di prove raccolte, Mandiant conferma che APT41 ha iniziato a sfruttare la vulnerabilità Log4j entro poche ore dall’alert pubblicato e datato 10 dicembre 2021. In particolare, è stata utilizzata per compromettere almeno due enti governativi USA, e anche altre vittime operanti nei settori delle assicurazioni e delle telecomunicazioni;
- È stata osservata una notevole capacità di adattarsi e di fare leva su nuovi vettori di attacco per compromettere le vittime;
- I malware usati per colpire gli enti governativi USA sono stati personalizzati per essere specifici per le vittime designate, i malware ricevevano aggiornamenti frequenti e comunicavano all’esterno tramite l’uso di forum da cui ricevevano le istruzioni per stabilire connessioni ai sistemi di Command&Control (C2);
- Gli obiettivi generali della campagna di APT41 restano sconosciuti. La loro persistenza nel cercare di ottenere accesso alle reti degli enti governativi USA, dimostrata dal voler compromettere nuovamente le loro precedenti vittime e dal voler prendere di mira più enti all’interno del medesimo Stato, mostra che qualunque siano gli obiettivi sono per loro molto importanti.
“La crisi in atto in Ucraina ha giustamente catturato l’attenzione del mondo intero e il potenziale delle minacce informatiche da parte della Russia sono reali. Al contempo dobbiamo ricordare che altri importanti attaccanti in tutto il mondo stanno continuando con le loro operazioni. Non possiamo permettere che le altre attività cyber cadano nel dimenticatoio, specialmente a seguito dell’osservazione di questa nuova campagna da parte di APT41, uno dei più prolifici aggressori in circolazione. APT41 è una minaccia persistente e questa recente campagna è un “promemoria” che gli enti governativi USA sono sotto l’incessante pressione di aggressori Nation-State come la Cina e la Russia. Tuttavia, mentre quest’ultima campagna ha colpito gli Stati Uniti, l’utilizzo della vulnerabilità 0-Day in Log4j da parte di APT41, dimostra il loro continuo interesse anche in altre regioni come il Sud-est asiatico. La preferenza per l’uso di exploit verso le applicazioni web esposte su Internet, unitamente alla capacità di modificare rapidamente gli obiettivi in base alle capacità disponibili indica come APT41 continui a rappresentare una minaccia significativa per le aziende pubbliche e private in tutto il mondo”, dichiara Geoff Ackerman, Principal Threat Analyst, Mandiant.
