"𝐒𝐞𝐜𝐫𝐞𝐭 𝐁𝐥𝐢𝐳𝐳𝐚𝐫𝐝" 𝐡𝐚 𝐟𝐚𝐭𝐭𝐨 𝐮𝐧'𝐚𝐥𝐭𝐫𝐚 𝐝𝐞𝐥𝐥𝐞 𝐬𝐮𝐞
Gli specialisti di Lumen Black Lotus Labs e del Microsoft Threat Intelligence Team hanno scoperto che il gruppo russo di cyber spionaggio Turla (noto anche come Secret Blizzard) ha compromesso l'infrastruttura di un'altra APT, il gruppo pakistano Storm-0156, per condurre attacchi mirati su reti già violate.
Questa campagna, iniziata nel dicembre 2022, ha visto Turla ottenere l'accesso a reti già compromesse da Storm-0156, tra cui organizzazioni governative in Afghanistan e India, e installare i propri strumenti dannosi.
Una rete di attacchi
Secondo Lumen, Storm-0156 si concentrava su obiettivi in India e Afghanistan. Durante il monitoraggio, è stato rilevato un server di comando e controllo con un banner "hak5 Cloud C2", indicando l'uso di dispositivi fisici come Wi-Fi Pineapple in reti governative indiane.
Tuttavia, analizzando queste attività, i ricercatori hanno notato anomalie che indicavano l'intervento di Turla. Ad esempio, tre indirizzi IP VPS, già collegati in precedenza a Turla, interagivano con i server. Inoltre, i pattern di trasmissione dati non erano coerenti con le tattiche precedenti di Storm-0156.
A partire dalla fine del 2022, Turla ha compromesso diversi server di comando e controllo di Storm-0156, installando malware come il backdoor TinyTurla, TwoDash e altri strumenti come Statuezy e MiniPocket.
Obiettivi strategici
Microsoft ha rilevato che Turla ha utilizzato l'infrastruttura di Storm-0156 per colpire istituzioni governative afgane, tra cui il Ministero degli Esteri e l'intelligence nazionale, nonché consolati stranieri in Afghanistan.
A metà del 2023, Turla ha compiuto un ulteriore passo avanti, spostandosi lateralmente nell'infrastruttura di Storm-0156 fino a comprometterne le workstation. Questo ha permesso loro di accedere a strumenti di Storm-0156, come CrimsonRAT e il trojan Wainscot, oltre a dati rubati e credenziali.
In un caso, Turla ha utilizzato un backdoor rubato a Storm-0156 per attaccare un singolo computer in India. Tuttavia, ha anche installato backdoor sui server di Storm-0156 che ospitavano informazioni rubate da istituzioni militari indiane.
"Strumenti e endpoint di hacker ‘governativi’ e criminali sono vulnerabili poiché non adottano moderni stack di sicurezza," spiegano gli esperti di Lumen. "Se installano prodotti di protezione, rischiano di rivelare informazioni su di loro e sui loro strumenti sconosciuti."
Questo modus operandi non è nuovo per Turla. Nel 2019, il gruppo ha sfruttato l'infrastruttura dell'iraniana OilRig per i propri attacchi, rubando dati come log, credenziali e costruttori di malware.
Più recentemente, nel 2023, gli analisti di Mandiant hanno scoperto che Turla aveva preso il controllo dei server di un vecchio botnet Andromeda per individuare nuovi obiettivi per operazioni di spionaggio.
#ClioSecurity #Turla #APT #CyberEspionage #CyberSecurity #Storm0156 #Malware #ThreatIntel
