Campagna Spionaggio Globale: Nuovo Backdoor Sfrutta Google Sheets per Evasione

Dettagli Tecnici Approfonditi

L'attività di spionaggio internazionale, recentemente interrotta da Google, Mandiant e partner, ha impiegato tecniche di offuscamento avanzate per mascherare il traffico malevolo. L'attore di minaccia, identificato internamente da Google come UNC2814 e sospettato di provenienza cinese, ha sfruttato le API di Software as a Service (SaaS) per eludere i sistemi di rilevamento.

La campagna, attiva almeno dal 2023, ha colpito 53 organizzazioni in 42 paesi, con sospette infezioni in almeno altri 20. Il vettore di accesso iniziale rimane sconosciuto, sebbene ricerche precedenti abbiano indicato l'utilizzo di vulnerabilità in server web e sistemi edge.

Il Backdoor GRIDTIDE e l'Abuso delle API Google Sheets

Un elemento chiave di questa campagna è l'utilizzo di un backdoor basato su codice C denominato GRIDTIDE. Questo malware sfrutta in modo ingegnoso le API di Google Sheets per le operazioni di Command and Control (C2). Il processo di esecuzione e comunicazione è il seguente:

• Autenticazione: GRIDTIDE si autentica a un Account Servizio Google utilizzando una chiave privata hardcoded.
• Pulizia Iniziale: Al lancio, il malware pulisce il foglio di calcolo, eliminando le prime 1000 righe e le colonne da A a Z. Questo comportamento potrebbe essere volto a nascondere tracce di attività precedenti o a rendere più difficile l'analisi del foglio da parte di personale non autorizzato.
• Reconnaissance: GRIDTIDE esegue una fase di reconnaissance, raccogliendo informazioni sul sistema compromesso, tra cui username, hostname, dettagli del sistema operativo, indirizzo IP locale, locale e timezone. Questi dati vengono poi registrati nella cella V1 del foglio di calcolo.
• Comunicazione C2: La cella A1 del foglio di calcolo funge da cella di comando/stato. GRIDTIDE la interroga costantemente per ricevere istruzioni. Se istruzioni sono presenti, il malware le sovrascrive con una stringa di stato. In assenza di istruzioni, il malware tenta di nuovo ogni secondo per 120 volte, per poi passare a controlli casuali di 5-10 minuti, riducendo così il "rumore" generato.

Comandi Supportati da GRIDTIDE

GRIDTIDE supporta i seguenti comandi:

• C: Esegue comandi bash codificati in Base64 e scrive l'output nel foglio di calcolo.
• U: Carica dati dalla cella A2:A<arg2> e li ricostruisce/scrive in un percorso file codificato <arg1>.
• D: Scarica un file locale <arg_1> dall'endpoint, inviando il contenuto in frammenti di circa 45 KB nelle celle A2:An.

Le celle A2-An sono utilizzate per scrivere l'output dei comandi, i file esfiltrati e gli strumenti di upload.

Offuscamento e Tecniche di Evasione

La comunicazione tra GRIDTIDE e il server C2 si basa su uno schema di codifica Base64 URL-safe, progettato per eludere il rilevamento da parte degli strumenti di monitoraggio web e per integrarsi con il traffico normale. Questo approccio rende più difficile l'identificazione del traffico malevolo come tale.

In almeno un caso, Google ha confermato che GRIDTIDE è stato distribuito su un sistema contenente informazioni personali identificabili (PII) sensibili. Sebbene non sia stata osservata direttamente l'esfiltrazione di dati, la presenza del malware su un sistema di questo tipo solleva preoccupazioni significative sulla potenziale compromissione di dati sensibili.

Azioni di Disruption e Prossimi Passi

Google, Mandiant e i loro partner hanno intrapreso azioni coordinate per interrompere la campagna, tra cui la terminazione di tutti i progetti Google Cloud controllati da UNC2814, la disabilitazione delle infrastrutture note, la revoca dell'accesso alle API Google Sheets e la disabilitazione di tutti i progetti cloud utilizzati nelle operazioni C2. I domini attuali e storici sono stati "sinkholed". Le organizzazioni colpite da GRIDTIDE sono state informate direttamente e offerto supporto per la rimozione dell'infezione.

Nonostante la disruption apparentemente completa della campagna, Google prevede che UNC2814 riprenda l'attività utilizzando nuove infrastrutture nel prossimo futuro. La capacità di adattamento e la persistenza di attori di minaccia di questo tipo richiedono un monitoraggio continuo e un rafforzamento delle difese.

Dati, Trend Correlati, Impatto sul Settore

Un'operazione di spionaggio globale, attribuita a un attore di minaccia cinese sospetto (tracciato internamente da Google come UNC2814), è stata recentemente interrotta grazie all'intervento coordinato del Google Threat Intelligence Group (GTIG), Mandiant e partner. La campagna, attiva almeno dal 2023, ha impattato 53 organizzazioni in 42 paesi, con sospette infezioni in almeno altri 20.

L'attore ha sfruttato le API di Software as a Service (SaaS) per mascherare il traffico malevolo, prendendo di mira reti di telecomunicazioni e agenzie governative. Sebbene il vettore di accesso iniziale rimanga sconosciuto, precedenti attività di UNC2814 hanno evidenziato lo sfruttamento di vulnerabilità in server web e sistemi edge.

Un elemento distintivo di questa campagna è l'impiego di un backdoor basato su C denominato "GRIDTIDE". Questo malware abusa dell'API di Google Sheets per le operazioni di Command and Control (C2) evasive. GRIDTIDE si autentica a un Google Service Account utilizzando una chiave privata hardcoded e, all'avvio, pulisce il foglio di calcolo eliminando righe e colonne. Successivamente, esegue attività di ricognizione dell'host, raccogliendo dettagli di sistema e registrando i dati in una cella specifica. Le istruzioni vengono ricevute tramite una cella dedicata, e il malware implementa meccanismi di polling e retry per ridurre la possibilità di rilevamento.

Le funzionalità di GRIDTIDE includono l'esecuzione di comandi Bash codificati in Base64, il caricamento e il download di file. Le comunicazioni con il server C2 utilizzano uno schema di codifica Base64 sicuro per URL, progettato per eludere i sistemi di monitoraggio del traffico web.

In almeno un caso, GRIDTIDE è stato rilevato su un sistema contenente informazioni personali sensibili (PII), sebbene l'esfiltrazione diretta di dati non sia stata osservata. L'intervento coordinato ha comportato la disattivazione di progetti Google Cloud, la revoca dell'accesso all'API di Google Sheets e la creazione di sinkhole per domini coinvolti. Le organizzazioni impattate sono state informate e offerto supporto per la rimozione del malware.

Nonostante l'interruzione della campagna, Google prevede che UNC2814 riprenda le attività in futuro, utilizzando nuova infrastruttura. Questo sottolinea la necessità di un monitoraggio continuo e di una risposta proattiva alle minacce informatiche, in particolare considerando la velocità con cui si evolve l'infrastruttura IT moderna.

Consigli pratici per l'utente/investitore

Un recente rapporto di Google, in collaborazione con Mandiant e altri partner, ha rivelato la disattivazione di una sofisticata campagna di spionaggio globale, attribuita a un attore di minaccia cinese (designato internamente come UNC2814). Questa campagna, attiva almeno dal 2023, ha colpito 53 organizzazioni in 42 paesi, con sospette infezioni in ulteriori 20 nazioni. L'obiettivo primario erano reti di telecomunicazioni e governi, e l'utilizzo di API SaaS, in particolare Google Sheets, per mascherare il traffico malevolo rappresenta un elemento distintivo di questa minaccia.

L'attacco impiega un backdoor denominato "GRIDTIDE", scritto in linguaggio C, che sfrutta l'API di Google Sheets per operazioni di Command and Control (C2) evasive. GRIDTIDE si autentica tramite un account di servizio Google utilizzando una chiave privata hardcoded e, al suo avvio, pulisce la cartella di lavoro di Google Sheets eliminando una porzione significativa di dati. Successivamente, raccoglie informazioni di ricognizione sul sistema compromesso (username, hostname, dettagli del sistema operativo, indirizzo IP locale, locale e fuso orario) e le registra in una cella specifica del foglio di calcolo.

Le funzionalità di GRIDTIDE includono l'esecuzione di comandi Bash codificati in Base64, il caricamento e il download di file. L'utilizzo di una codifica Base64 sicura per URL consente al malware di confondersi con il traffico normale, eludendo i sistemi di monitoraggio web.

Sebbene l'azione coordinata di Google, Mandiant e partner abbia portato alla disattivazione dei progetti Google Cloud controllati da UNC2814, alla revoca dell'accesso all'API Google Sheets e al "sinkholing" dei domini coinvolti, è altamente probabile che l'attore di minaccia riprenda le attività utilizzando nuove infrastrutture. Questa situazione sottolinea la necessità di un approccio proattivo e continuo alla sicurezza informatica.

Consigli pratici per utenti e investitori

• Consapevolezza e Formazione: Sensibilizzare gli utenti sui rischi associati a e-mail di phishing, download di file sospetti e navigazione su siti web non attendibili. La formazione continua è fondamentale.
• Gestione delle API: Verificare e limitare l'accesso alle API, in particolare quelle di servizi cloud come Google Sheets. Implementare controlli di accesso basati sul principio del minimo privilegio.
• Monitoraggio e Rilevamento: Implementare sistemi di monitoraggio avanzati per rilevare attività anomale nel traffico di rete e nei log di sistema. Prestare particolare attenzione a connessioni inusuali a servizi cloud.
• Gestione delle Chiavi: Adottare pratiche robuste per la gestione delle chiavi private, evitando di incorporarle direttamente nel codice o nei file di configurazione. Utilizzare servizi di gestione delle chiavi (KMS) per una maggiore sicurezza.
• Aggiornamenti e Patch: Mantenere aggiornati i sistemi operativi, le applicazioni e i software di sicurezza con le patch di sicurezza più recenti.
• Valutazione del Rischio: Effettuare regolarmente valutazioni del rischio per identificare le vulnerabilità e le minacce potenziali.
• Incident Response: Preparare e testare piani di risposta agli incidenti per affrontare efficacemente le violazioni della sicurezza.

La resilienza informatica richiede un impegno costante e un adattamento continuo alle nuove minacce. La comprensione di attacchi come quello descritto da questo rapporto è un passo cruciale per rafforzare le difese.

Previsione Futura Netta Basata sui Fatti

L'interruzione della campagna di spionaggio globale, attribuita all'attore di minaccia cinese UNC2814 e resa possibile dall'azione coordinata di Google, Mandiant e partner, rappresenta un successo significativo nel contrasto alle attività malevole. Tuttavia, la natura persistente e adattabile di tali attori di minaccia impone una valutazione prudente e una previsione basata sui fatti osservati.

Nonostante l'eliminazione dell'infrastruttura compromessa e la revoca degli accessi API, è altamente probabile che UNC2814 riprenda le proprie attività in futuro. La capacità dimostrata di sfruttare vulnerabilità in sistemi web e edge, unita alla sofisticatezza nell'utilizzo di servizi cloud legittimi come Google Sheets per il comando e il controllo (C2), suggerisce una resilienza notevole.

Si prevede che l'attore di minaccia adotterà nuove infrastrutture e tecniche di offuscamento per eludere i meccanismi di rilevamento. L'utilizzo di codifiche URL-safe Base64, come evidenziato nell'impiego del backdoor GRIDTIDE, dimostra una chiara intenzione di mimetizzarsi nel traffico di rete normale. È ragionevole aspettarsi che future implementazioni di backdoor e tecniche di C2 presentino caratteristiche simili, richiedendo un continuo aggiornamento dei sistemi di rilevamento e risposta.

La vulnerabilità dimostrata da organizzazioni in telecomunicazioni e governo, così come l'impatto su un numero considerevole di paesi, sottolinea la necessità di un rafforzamento generalizzato delle misure di sicurezza informatica. Un approccio proattivo, basato sull'analisi continua delle minacce e sull'implementazione di controlli di sicurezza robusti, rimane imperativo per mitigare il rischio di future compromissioni.

la disruption attuale non elimina la minaccia, ma ne riduce temporaneamente l'impatto. La vigilanza e l'adattamento continuo sono essenziali per contrastare efficacemente le attività di UNC2814 e di attori di minaccia simili.