Le attività del gruppo APT (Advanced Persistent Threat) ToddyCat, continuano ad essere nel mirino dei ricercatori di Kaspersky. Questi ne hanno recentemente evidenziato gli sviluppi, rivelando l’evoluzione delle loro strategie e una nuova serie di loader progettati per agevolare le operazioni malevole. Nel corso dell’indagine è stato inoltre scoperto un nuovo set di malware utilizzato da ToddyCat per raccogliere file ed esfiltrarli, attraverso servizi di file hosting pubblici e legittimi. Queste scoperte evidenziano il crescente impatto del cyberspionaggio e la capacità di adattamento dei gruppi APT per eludere il rilevamento.
Tecniche di spionaggio sempre più affinate
ToddyCat, si è fatto notare per la prima volta a dicembre 2020 a causa dei suoi attacchi di alto profilo ad aziende in Europe e Asia. Inizialmente, il report di Kaspersky si è focalizzato sugli strumenti principali di ToddyCat – Ninja Trojan e Samurai Backdoor – ma anche sui loader utilizzati per lanciare questi payload malevoli. Da questo momento, gli esperti di Kaspersky hanno creato delle firme speciali per monitorare l’attività dannosa degli attori di attacchi. Una delle firme è stata rilevata all’interno di un sistema e i ricercatori hanno iniziato una nuova indagine che ha portato alla scoperta dei nuovi strumenti di ToddyCat.
Nel corso dello scorso anno, i ricercatori Kaspersky hanno scoperto una nuova generazione di loader sviluppata da ToddyCat, a dimostrazione degli sforzi continui del gruppo nell’affinare le proprie tecniche di attacco. Questi loader giocano un ruolo essenziale nella fase di infezione, consentondo la diffusione del Ninja Trojan. È interessante notare che, occasionalmente, ToddyCat sostituisce i loader standard con una variante personalizzata, adattata a sistemi specifici. Questo loader personalizzato mostra funzionaltà simili, ma si distingue per il suo schema crittografico unico, che tiene conto di caratteristiche di sistema specifiche, come il tipo di drive e il volume GUID.
Per mantenere una persistenza a lungo termine sui sistemi compromessi, ToddyCat impiega tecniche diverse, tra cui la creazione di una chiave di registro e di un servizio corrispondente. Questo assicura che il codice malevolo sia caricato durante l’avvio del sistema, una tattica di attacchi che ricorda i metodi della backdoor Samurai del gruppo.
L’indagine di Kaspersky ha inoltre rilevato altri strumenti e componenti aggiuntivi, come Ninja, un agent versatile con diverse funzionalità, come la gestione dei processi, il controllo del file system, le sessioni di reverse shell, la code injection e l’inoltro del traffico di rete. Queste ultime scoperte confermano la ricerca costante di obiettivi di spionaggio da parte di ToddyCat e spiegano come il gruppo si infiltri nelle reti aziendali, conduca movimenti laterali e raccolga informazioni importanti. ToddyCat si avvale di numerose tattiche che includono attività di scoperta, catalogazione di domini e movimenti laterali con l’unico scopo di raggiungere i propri obiettivi di spionaggio.
Cyber attacchi: misure di sicurezza
Per evitare di diventare vittime di attacchi mirati da parte di cybercrimali conosciuti o sconosciuti, gli esperti di Kaspersky consigliano di implementare le seguenti misure di sicurezza:
- Consentire al team SOC l’accesso a tutte le più recenti informazioni sulle minacce.
- Formare il proprio team di sicurezza informatica per affrontare le più recenti minacce mirate grazie a Kaspersky online training, sviluppato dagli esperti del GreAT.
- Implementare soluzioni EDR, come Kaspersky Endpoint Detection and Response, per il rilevamento a livello endpoint, per le indagini e la tempestiva risoluzione in caso di incidenti.
- Oltre alla protezione endpoint di base, è importante installare anche una soluzione di sicurezza per le aziende, in grado di rilevare sin dagli stadi iniziali le minacce avanzate a livello di rete.
- Poiché molti attacchi mirati iniziano con il phishing o altre tecniche di social engineering, è bene introdurre sessioni di formazione per sensibilizzare sulle tematiche di sicurezza informatica e fornire competenze pratiche al proprio team.
