Le quattro fasi di un attacco infostealer.

Come si articola un attacco a un'organizzazione tramite l'uso di un infostealer? L'esame di esempi come Uber ed EA Games rivela un piano in quattro fasi utilizzato dagli aggressori per colpire un'organizzazione.

1. L'infezione

La prima fase dell'attacco non fa ancora parte dell'attacco attivo. I distributori di malware infostealer cercano di infettare quanti più dispositivi possibile. Questo malware, che ruba dati di accesso e cookie di sessione su larga scala, è spesso nascosto in download illegali o in e-mail di phishing. L'obiettivo di questi hacker? Semplice: infettare quanti più dispositivi possibile per trarne profitto. Come: vedere il passaggio 2.

Quando si tratta di infettare i dispositivi, quelli aziendali sono naturalmente i più preziosi. Tuttavia, anche i dispositivi personali possono rivelarsi utili, soprattutto se vi si svolge comunque una qualche attività lavorativa. Dopotutto, quanto è comune che le persone usino il proprio dispositivo personale per accedere ai sistemi aziendali? L'attacco a Uber, ad esempio, è iniziato con l'infezione da malware del dispositivo personale di un fornitore esterno.

‍

2. La vendita

I distributori di malware infostealer raramente sferrano l'attacco in prima persona. Il loro modello di business consiste nell'infettare quanti più dispositivi possibile per poi monetizzarli con successo. È esattamente quello che è successo negli esempi di Uber ed EA Games.

Queste transazioni avvengono in mercati chiusi a cui non chiunque può accedere. Qui, il controllo del dispositivo o di sessioni specifiche viene offerto in vendita a prezzi che variano da dieci a mille dollari e, molto raramente, fino a diecimila dollari. Ad esempio, nel caso di EA Games, è emerso che la sessione dell'account Slack ancora attiva è stata venduta per 10 dollari.

Giudicato, aggiudicato, venduto! Il controllo dell'account e/o del dispositivo viene ora trasferito a un altro aggressore. Questo hacker, a differenza del distributore di malware, ha l'obiettivo di sfruttare i dati per sferrare un attacco.

‍

3. Il travestimento

Il malware infostealer fornisce di fatto agli hacker un travestimento che consente loro di infiltrarsi nelle organizzazioni dalla porta principale. Questo perché la sessione ancora attiva permette all'aggressore di accedere ai sistemi interni dell'organizzazione come se fosse il dipendente stesso.

Nel caso di Uber, a quanto pare la sessione non era più valida o non era presente, e l'aggressore ha dovuto accontentarsi di un nome utente e di una password. L'hacker ha utilizzato questi dati per un attacco di tipo MFA Fatigue, incorporando un elemento di inganno: la vittima ha ricevuto un messaggio di testo in cui l'aggressore fingeva di essere il supporto IT di Uber: "Vediamo molti tentativi di accesso nei nostri sistemi. Per farli cessare, devi accettare una di queste richieste per un momento." Ciò ha consentito all'aggressore di accedere, tra gli altri, a Google Workspace e Slack.

Nel caso di EA Games, invece, la sessione era attiva e ha permesso all'aggressore di accedere direttamente a Slack come se fosse il dipendente. Un travestimento ideale, a quanto pare. Sfruttando tale veste, l'hacker ha contattato il supporto IT di EA: "Ieri sera ho perso il telefono a una festa." Viene così creato un nuovo token MFA per la rete interna di EA, consentendo all'aggressore di proseguire nel suo attacco.

‍

4. E così via…

Una volta entrato nei sistemi interni di un'organizzazione, l'aggressore può procedere. Presso EA Games sono stati rubati circa 750 GB di file, tra cui il codice sorgente di diversi giochi. Nel caso di Uber, il danno è stimato in almeno 3 milioni di dollari, secondo l'accusa. Ciò che un hacker mira a fare esattamente (installare ransomware o spyware, oppure alterare file) varia da un aggressore all'altro. Resta il fatto che in questa fase sono ormai penetrati, lasciando le organizzazioni vulnerabili.

La conclusione è chiara: gli infostealer rappresentano una minaccia sofisticata. Hanno già colpito in modo significativo anche diverse grandi organizzazioni nei Paesi Bassi. Desideri saperne di più su come rileviamo questi attacchi in una fase precoce? Leggi di più qui