È stata scovata una backdoor denominata KeyPlug che, negli ultimi mesi, ha colpito diverse industrie italiane a scopo di cyber spionaggio.
Secondo gli analisti del team di Tinexta Cyber che hanno analizzato questa nuova minaccia, KeyPlug potrebbe essere attribuibile all’arsenale del gruppo criminale APT41 originario della Cina (e con possibili collegamenti governativi).
La backdoor KeyPlug è scritta per colpire sia i sistemi operativi Windows sia quelli Linux e utilizza diversi protocolli di comunicazione che dipendono dalla configurazione del campione del malware analizzato.
La sua pericolosità deriva dal fatto di essere capace di rimanere resiliente all’interno dei sistemi aggrediti, anche nel caso in cui siano presenti apparati di difesa perimetrale come firewall, sistemi NIDS (Network Intrusion Detection System) ed Endpoint Detection and Response (EDR) installati su tutti gli endpoint delle reti colpite.
“APT41 si è sempre distinto per la sua sofisticazione e per la sua capacità di condurre operazioni di spionaggio cibernetico a livello globale”, sottolinea Luigi Martire, Technical Leader Yoroi Cert di Tinexta Cyber.
“Uno degli strumenti che ha usato e che continua a usare è proprio KeyPlug, una backdoor modulare capaci di eludere i principali sistemi di rilevamento offrendo all’attaccante la possibilità di restare silente per mesi all’interno dei sistemi compromessi”, aggiunge l’analista.
Indice degli argomenti
L’analisi tecnica della backdoor KeyPlug
L’analisi del campione della backdoor KeyPlug configurata per colpire i sistemi Windows ha rivelato che l’infezione parte da un componente che funge da loader e scritto usando il framework .NET.
Il loader, a sua volta, è stato progettato per decodificare un altro carico malevolo camuffato come un file di tipo icona denominato pfm.ico. In particolare, la decodifica di questo secondo file avviene tramite l’algoritmo di crittografia simmetrica AES, con delle chiavi conservate direttamente nel sample stesso.
I dettagli del payload sono del tutto simili a quelli del malware descritto nel rapporto Does This Look Infected? A Summary of APT41 Targeting U.S. State Governments pubblicato da Mandiant e questo ricollega la backdoor KeyPlug al gruppo criminale filocinese APT41.
L’analisi della versione Linux del malware ha rivelato un codice leggermente più complesso dal quale si evince che gli attori della minaccia hanno utilizzato VMProtect, un tool che consente di eseguire il codice software su una macchina virtuale, rendendolo molto più sicuro e di difficile analisi.
La successiva decodifica della configurazione del malware ha, invece, fatto mergere immediatamente le somiglianze con la variante Windows di KeyPlug.
Chi è e come agisce il gruppo criminale APT41
APT41, conosciuto con numerosi pseudonimi come Amoeba, BARIUM, BRONZE ATLAS, BRONZE EXPORT, Blackfly, Brass Typhoon, Earth Baku, G0044, G0096, Grayfly, HOODOO, LEAD, Red Kelpie, TA415, WICKED PANDA e WICKED SPIDER, è un gruppo di minacce informatiche di origine cinese riconosciuto per le sue vaste campagne di spionaggio informatico e di criminalità informatica.
Le operazioni del gruppo APT41 si distinguono per la loro complessità e versatilità, che riflettono un alto livello di competenze e risorse, probabilmente indicando il supporto o i collegamenti con entità statali. Il gruppo prende di mira un’ampia gamma di settori, tra cui quello governativo, manifatturiero, tecnologico, dei media, dell’istruzione e dei giochi, con l’intento di rubare proprietà intellettuale, dati sensibili e compromettere i sistemi a scopo strategico o economico.
Come mitigare il rischio
Le tattiche, le tecniche e le procedure (TTP) del gruppo APT41 includono la distribuzione di malware, il phishing, lo sfruttamento di vulnerabilità software zero-day e gli attacchi alla catena di approvvigionamento.
Le loro attività rappresentano una minaccia globale, che richiede una costante vigilanza da parte dei professionisti della sicurezza informatica per mitigare i rischi associati.
“I rischi legati allo spionaggio industriale perpetrato da gruppi criminali come APT41 sono significati”, aggiunge ancora Luigi Martire. “Le loro operazioni possono mirare a rubare proprietà intellettuali, segreti commerciali e informazioni sensibili che potrebbero conferire vantaggi competitivi illeciti”.
Secondo l’analista, “le aziende che operano in settori tecnologicamente avanzati o strategici sono particolarmente vulnerabili e le conseguenze di tali attacchi possono includere perdite economiche ingenti, danni alla reputazione e compromissione della sicurezza nazionale”.
Il primo consiglio da dare alle aziende rimane, dunque, quello di investire in formazione del personale: solo grazie a una solida security awareness è possibile, infatti, gestire il fattore umano e alzare un argine efficace contro le principali minacce informatiche.
Importante, poi, adottare una corretta politica di patching per mantenere sempre aggiornati i propri sistemi. Infine, nel caso specifico della backdoor KeyPlug, è utile applicare ai propri apparati di difesa gli indicatori di compromissione (IoC) pubblicati dai ricercatori di sicurezza di Tinexta Cyber.
