Ransomware Makop: GuLoader ed escalation dei privilegi contro aziende indiane

Altre lingue disponibili:English Español

Autori: Ilia Dafchev, Darrel Virtusio

Riepilogo

Makop, una variante di ransomware derivata da Phobos, continua a sfruttare i sistemi RDP esposti aggiungendo nuovi componenti come exploit di escalation dei privilegi locali e malware loader al suo toolkit tradizionale.

L'attacco inizia tipicamente con l'exploit del RDP, seguito dallo staging degli scanner di rete, strumenti di movimento laterale ed exploit di escalation dei privilegi, prima di passare alla crittografia o fermarsi se gli aggressori non riescono a bypassare la soluzione di sicurezza implementata.

Gli aggressori utilizzano un mix di strumenti pronti all'uso, inclusi gli scanner di rete, strumenti per disattivare gli antivirus e numerosi exploit di escalation dei privilegi locali, insieme a nomi di file ingannevoli per evitare il rilevamento.

GuLoader, un trojan di tipo downloader, viene utilizzato per consegnare payload secondari, indicando un'evoluzione nella metodologia di Makop attraverso l'integrazione di più tecniche per bypassare misure di sicurezza e meccanismi aggiuntivi di consegna dei malware.

La maggior parte degli attacchi (55%) prendono di mira organizzazioni in India, mentre incidenti vengono segnalati anche in Brasile, Germania e altre regioni.

Introduzione

Makop è un ceppo di ransomware osservato per la prima volta intorno al 2020 ed è generalmente considerato una variante della famiglia Phobos. Recentemente, i ricercatori di Acronis TRU hanno identificato una nuova attività e strumenti associati a Makop, spingendo a un'indagine più approfondita su diversi casi recenti di ransomware per comprendere meglio come gli operatori conducono i loro attacchi.

Il modello che è emerso è che gli aggressori preferiscono operare in modo semplice e con poco sforzo. La maggior parte delle vittime è stata compromessa tramite RDP e, frequentemente, dopo di ciò, gli aggressori utilizzano strumenti pronti all'uso per la scoperta e il movimento laterale, come scanner di rete, exploit di escalation dei privilegi locali (LPE), strumenti per disattivare gli antivirus come driver vulnerabili, terminatori di processi, software di disinstallazione mirato, strumenti di accesso alle credenziali come Mimikatz e altre fasi della kill chain.

È stato interessante vedere la loro raccolta di exploit di escalation dei privilegi locali e in alcune occasioni abbiamo visto l'uso di GuLoader. GuLoader è un malware di tipo downloader scoperto per la prima volta alla fine del 2019, che distribuisce diversi tipi di malware di seconda fase. E' noto che distribuisca malware come AgentTesla, FormBook, XLoader, Lokibot e altri.

Il playbook di Makop

Il flusso degli attacchi di Makop segue generalmente un modello familiare. Gli operatori del ransomware ottengono l'accesso iniziale sfruttando servizi di remote desktop protocol (RDP) esposti pubblicamente e non sicuri. Fanno comunemente affidamento su attacchi brute-force o a dizionario per violare credenziali deboli o riutilizzate. Una volta all'interno, gli aggressori preparano i loro strumenti per la scansione della rete, l'escalation dei privilegi, la disabilitazione del software di sicurezza, il dumping delle credenziali e, infine, distribuiscono il programma di crittografia.

Dopo la fase iniziale di staging, gli aggressori procedono con la scoperta, l'elusione delle difese, l'escalation dei privilegi e il movimento laterale, anche se i passaggi non avvengono sempre in un ordine specifico. In alcuni casi, gli aggressori rinunciano dopo che i loro strumenti vengono rilevati dalla soluzione di sicurezza. Ma a volte mostrano uno sforzo aggiuntivo per aggirare la soluzione di sicurezza utilizzando campioni compressi VMProtect degli stessi strumenti o disabilitando la soluzione di sicurezza, sia cercando di disinstallarla manualmente sia utilizzando strumenti di hacking. Se a questo punto falliscono, si ritirano e lasciano la vittima.

La catena di esecuzione osservata utilizzata dagli operatori di Makop nei loro attacchi recenti è illustrata nel diagramma qui sotto.

Il toolbox di Makop

Lo strumento di Makop viene più frequentemente depositato nelle condivisioni RDP montate in rete (come “\\tsclient\”) o all'interno della directory Musica dell'utente. Sebbene in alcuni casi gli aggressori abbiano utilizzato anche le directory Download, Desktop, Documenti o la root dell'unità C:. Frequentemente le sottocartelle avevano nomi come “Bug” o “Exp.” Il file binario del programma di crittografia utilizza solitamente uno dei seguenti nomi: bug_osn.exe, bug_hand.exe, 1bugbug.exe, bugbug.exe, taskmgr.exe, mc_osn.exe, mc_hand.exe e varianti di questi precedute da un punto (ad esempio “ .taskmgr.exe ”).

Accesso iniziale

Gli operatori di Makop sono noti per sfruttare gli exploit delle credenziali RDP deboli per ottenere accesso all'ambiente delle vittime. L'RDP è uno dei metodi preferiti dai criminali informatici per compromettere le organizzazioni, poiché molte di esse utilizzano ancora credenziali deboli e non dispongono di un'autenticazione a più fattori (MFA), rendendole vulnerabili agli attacchi brute-force, una delle tattiche più comuni utilizzate dai gruppi di ransomware.

Durante la nostra indagine, abbiamo specificamente individuato l'uso di NLBrute. Si tratta di un vecchio strumento di hacking che veniva venduto sui forum dedicati alla criminalità informatica già nel 2016. Non molto tempo dopo il suo debutto, è apparsa una versione crackata di NLBrute che lo ha reso ampiamente utilizzato dai criminali informatici.

NLBrute richiede informazioni quali un elenco di indirizzi IP di destinazione che hanno esposto RDP (spesso sulla porta predefinita 3389, anche se questa può essere personalizzata) insieme a elenchi di nomi utente e password noti da utilizzare per attacchi brute-force come attacchi a dizionario o password spray. Sebbene l'exploit dell'RDP non sia l'intrusione più sofisticata, è ancora una delle tecniche più efficaci che consentono attacchi ransomware. Una volta che gli operatori Makop riescono ad accedere tramite RDP, possono iniziare a muoversi lateralmente attraverso l'infrastruttura dell'organizzazione e massimizzare il proprio impatto.

Scansione di rete e movimento laterale

Per quanto riguarda la scoperta e il movimento laterale, nella nostra telemetria sono comparsi diversi strumenti. È stato utilizzato principalmente NetScan, mentre Advanced IP Scanner è stato utilizzato come alternativa in altri casi.

Advanced IP Scanner esegue la scansione delle reti locali per identificare gli host attivi e i servizi aperti, aiutando gli aggressori a mappare gli obiettivi per il movimento laterale.

Gli autori delle minacce hanno combinato questi strumenti con Advanced Port Scanner e Masscan per la scansione delle porte. Questi strumenti sono comunemente utilizzati dagli autori delle minacce per enumerare la rete e l'infrastruttura e individuare host e servizi di alto valore a supporto delle attività di movimento laterale. Questi strumenti non solo sono altamente efficaci, ma possono anche integrarsi con le attività amministrative legittime.

Elusione delle difese

Sono stati individuati diversi strumenti per disattivare gli antivirus utilizzati dagli operatori, tra cui strumenti come Defender Control e Disable Defender per disabilitare Windows Defender. Entrambi gli strumenti sono leggeri ed efficaci nel disattivare temporaneamente le funzionalità di Microsoft Defender.

Le tecniche BYOVD sono sfruttate anche utilizzando driver vulnerabili come hlpdrv.sys e ThrottleStop.sys. ThrottleStop.sys è un driver legittimo e firmato sviluppato da TechPowerUp per l'applicazione ThrottleStop, un'utility progettata per il monitoraggio e la correzione dei problemi di limitazione di banda della CPU. La vulnerabilità di ThrottleStop (CVE-2025-7771) deriva dal modo in cui il driver gestisce l'accesso alla memoria. Gli aggressori possono sfruttare questo exploit per ottenere il controllo, portando infine alla disabilitazione degli strumenti di sicurezza.

Un altro driver vulnerabile è hlpdrv.sys. Questo driver, quando registrato come servizio, notoriamente ottiene accesso a livello kernel e potenzialmente termina le soluzioni EDR. Entrambi i driver sono stati utilizzati in precedenti campagne ransomware, in particolare da MedusaLocker, Akira e Qilin.

Abbiamo anche scoperto che gli autori della minaccia hanno distribuito un software di disinstallazione su misura per rimuovere Quick Heal AV. Quick Heal AV è un prodotto antivirus e di protezione degli endpoint di Quick Heal Technologies (India) che fornisce protezione da malware sia per i consumatori che per i clienti aziendali.

Programma di disinstallazione Quick Heal AV

L'uso di un programma di disinstallazione su misura per Quick Heal AV è in linea con i nostri dati di telemetria che mostrano che le vittime erano prevalentemente localizzate in India. Questa rimozione mirata indica che gli aggressori hanno adattato parti del loro toolkit a seconda della regione della vittima.

Infine, hanno anche abusato di applicazioni come Process Hacker e IOBitUnlocker. Entrambe le applicazioni sono legittime ma vengono sfruttate da attori malevoli per terminare facilmente i processi ed eliminare programmi.

Escalation dei privilegi

Sono state sfruttate molteplici vulnerabilità di escalation dei privilegi locali (LPE) che vanno da divulgazioni più vecchie fino alle più recenti.

CVE-2016-0099

CVE-2017-0213

CVE-2018-8639

CVE-2019-1388

CVE-2020-0787

CVE-2020-0796

CVE-2020-1066

CVE-2021-41379

CVE-2022-24521

Le vulnerabilità abusate in questi casi sfruttano componenti di Windows, come BITS, Win32k, driver KS/SMB, Windows Installer, IOCTL del fornitore, ecc. Gli operatori Makop hanno sfruttato queste vulnerabilità specifiche poiché erano tutti concentrati sullo stesso obiettivo, molte di esse dispongono di PoC disponibili pubblicamente che ne semplificano l'utilizzo come arma e garantiscono in modo affidabile i privilegi di sistema necessari al ransomware per massimizzare il proprio impatto. La gamma di CVE sfruttati dimostra inoltre che il gruppo dispone di più primitive LPE nel proprio toolkit a cui ricorrere in caso di fallimento di una di esse. Nella nostra telemetria, le vulnerabilità CVE-2017-0213, CVE-2018-8639, CVE-2021-41379 e CVE-2016-0099 sono state tra le più frequentemente utilizzate dagli aggressori, indicando che queste vulnerabilità sono affidabili ed efficaci negli attacchi.

Accesso alle credenziali

Gli aggressori utilizzano dumper di credenziali e brute-force per raccogliere dati sensibili. Si affidano a strumenti come Mimikatz, LaZagne e NetPass per estrarre password salvate, credenziali nella cache e token di autenticazione. Utilizzano anche utility brute-force come CrackAccount e AccountRestore per violare ulteriori account. Le credenziali rubate consentono il movimento laterale e danno agli aggressori accesso a più sistemi all'interno dell'infrastruttura della vittima, aumentando l'impatto del ransomware. Molti gruppi di ransomware seguono lo stesso modello, il che mette in evidenza quanto siano efficaci questi strumenti per raggiungere gli obiettivi degli aggressori.

Tra gli strumenti di dump delle credenziali, Mimikatz è il più ampiamente utilizzato. Questo strumento di post-exploit estrae le credenziali direttamente dalla memoria di Windows, incluse password in chiaro, hash NTLM, ticket Kerberos e altre informazioni sensibili gestite dalla Local Security Authority (LSA).

Nel frattempo, LaZagne completa Mimikatz concentrandosi sulle credenziali archiviate localmente nelle applicazioni. Questo strumento open source supporta browser, profili Wi-Fi, client e-mail, database e archivi di credenziali di Windows.

Il recupero della password di rete (NetPass) prende di mira le credenziali relative alla rete, recuperando password per unità mappate, connessioni VPN, sessioni di desktop remoto e altre funzionalità di rete di Windows. Questo consente agli aggressori di ottenere rapidamente l'accesso alle password salvate dal sistema operativo.

Infine, altri strumenti brute-force come AccountRestore funzionano diversamente rispetto ai dumper di credenziali menzionati sopra. Questi strumenti testano più combinazioni di password per ottenere l'accesso agli account.

GuLoader

Oltre agli strumenti menzionati sopra, ci sono state istanze in cui GuLoader è stato distribuito nella stessa directory di altri strumenti ed è stato utilizzato per consegnare payload aggiuntivi. L'uso di loader per distribuire strumenti di crittografia ransomware è una tattica comune tra i gruppi ransomware. Gruppi ransomware come Qilin, Ransomhub, BlackBasta e Rhysida hanno sfruttato i loader di campagne precedenti, ma questo sembra essere il primo caso documentato di distribuzione di Makop tramite un loader.

Una volta che GuLoader è stato installato con successo nel sistema, sarà in grado di distribuire i suoi payload.

Percorso del file

Riga di comando

Descrizione

%USERPROFILE$\Music\1\BUG\TreasureRoberts.exe

“%USERPROFILE$\Music\1\BUG\TreasureRoberts.exe”

L'esecuzione di GuLoader rilascia uno script VBS per installare il malware.

%WINDIR%\System32\WScript.exe

"%USERPROFILE%\Music\1\BUG\67138435cf99c.vbs”

Installazione di GuLoader

%USERPROFILE%\Music\1\BUG\.mc_fxt.exe

Ransomware Makop

%USERPROFILE%\Music\1\BUG\.mc_n1tro.exe

Ransomware Makop

%USERPROFILE%\Music\1\BUG\.mc_p1z.exe

Ransomware Makop

Paesi bersaglio

La maggior parte delle organizzazioni attaccate (il 55% di tutti gli attacchi Makop) era situata in India, con un numero minore in Brasile e Germania e casi isolati in altri Paesi. Questa distribuzione non significa necessariamente che Makop abbia una destinazione specifica più di altre, ma potrebbe essere la conseguenza di un numero maggiore di aziende con una postura di sicurezza più bassa. Gli operatori di Makop sembrano agire in modo opportunistico, concentrandosi su reti dove le debolezze riducono lo sforzo necessario per l'ingresso iniziale, la compromissione successiva e la crittografia.

Conclusioni

Le campagne di ransomware Makop sottolineano la minaccia posta dagli aggressori che sfruttano vulnerabilità ben note e pratiche di sicurezza deboli. Sfruttando i sistemi RDP esposti insieme a una gamma di strumenti di facile reperibilità, dagli scanner di rete agli exploit di escalation dei privilegi locali, gli avversari dimostrano un approccio a basso sforzo ma altamente efficace. L'integrazione di tecniche, come l'uso di GuLoader per la consegna di payload secondari e l'adattamento delle tattiche in base alle regioni di destinazione, sottolinea ulteriormente la necessità per le organizzazioni di adottare misure di sicurezza affidabili, inclusa un'autenticazione forte e una gestione regolare delle patch.

Nel complesso, punti di ingresso apparentemente banali come RDP non sicuri possono portare a violazioni significative. Le organizzazioni in tutto il mondo, in particolare quelle con lacune di sicurezza note, dovrebbero continuamente rivalutare e rafforzare le loro difese contro il ransomware e altre minacce informatiche.