Assedio Cyber alle aziende russe: credenziali rubate, backdoor su Exchange e ransomware-wiper fino al controllo di Active Directory

Le aziende russe sono finite nel mirino di tre cluster di minacce informatiche che combinano backdoor modulari, ransomware multipiattaforma e wiper distruttivi. Le attivita osservate mostrano come gli attaccanti puntino sempre piu spesso a ottenere accesso iniziale tramite credenziali valide rubate e poi a muoversi lateralmente nella rete fino al controllo dell infrastruttura Active Directory.

Accesso iniziale, backdoor su Exchange e tecniche di evasione

Un primo filone di attacchi sfrutta accessi a VPN aziendali con credenziali compromesse e connessioni che possono provenire da indirizzi IP legati a tunnel e infrastrutture virtuali europee. Una volta entrati, gli operatori installano una backdoor modulare su Microsoft Exchange Server, in grado di eseguire codice, gestire file e caricare moduli aggiuntivi. Per ridurre la probabilita di rilevamento, il malware si maschera da componente di sistema e puo anche agire da tunnel o redirezionatore di traffico. Alcune catene tecniche includono componenti open source e l abuso di meccanismi applicativi per avviare il payload in memoria, rendendo piu complessa la risposta incident.

Movimento laterale e compromissione di Active Directory

Per il movimento laterale, vengono impiegati strumenti di tunneling e tecniche di pivoting via RDP, insieme a sfruttamento di vulnerabilita e abusi in Active Directory per ottenere privilegi elevati. In scenari avanzati, l obiettivo e creare persistenza, estrarre hash di password, usare ticket Kerberos di lunga durata e arrivare ai domain controller, compromettendo l intera identita aziendale.

Cluster hacktivista: RAT, ransomware multipiattaforma e comportamenti da wiper

Un secondo cluster, legato ad ambienti hacktivisti, ha evoluto le proprie tattiche passando da defacement e data breach a campagne di cifratura e distruzione. Qui compaiono un RAT in Go capace di instaurare tunnel TCP e ricevere comandi remoti, oltre a una famiglia ransomware chiamata Monkey in varianti Rust, .NET, C++ e Golang, con target che includono Windows, Linux e VMware ESXi. Alcune varianti usano ChaCha20 Poly1305 o AES 256 CBC, disabilitano meccanismi di recovery, cancellano log e tentano di ostacolare i backup, arrivando in certi casi a comportamenti simili a wiper.

Terzo gruppo: C2 non convenzionali e distribuzione via WinRM

Il terzo gruppo mostra una maturazione ulteriore con una backdoor personalizzata che usa canali di comando e controllo non convenzionali come MQTT e Matrix. La distribuzione puo avvenire via WinRM con strumenti noti, mentre la configurazione viene legata alla macchina tramite identificativi di sistema, aumentando la resilienza e la persistenza operativa.