Malware FoggyWeb utilizzato dagli attori Nobelium APT
Una delle più grandi campagne di criminalità informatica del 2021 è stato l'attacco alla catena di approvvigionamento contro il fornitore di software SolarWinds. Il gruppo dietro di esso, il Nobelium APT, è ancora attivo. Stanno sviluppando diversi tipi di malware e stanno cercando di sfruttare un'ampia gamma di applicazioni Web rivolte a Internet. Uno dei loro ultimi obiettivi sembra essere Active Directory Federation Services (AD FS): in questi attacchi, i criminali utilizzano un nuovo malware personalizzato chiamato FoggyWeb.
Oltre a funzionare come strumento di post-sfruttamento, FoggyWeb Malware può anche tornare utile quando gli hacker vogliono raccogliere credenziali da sistemi infetti. Le credenziali rubate vengono spesso utilizzate per sfruttare e infettare più server ADFS. Presumibilmente, il malware FoggyWeb è attivo dall'aprile 2021. Tuttavia, la sua attività è aumentata rapidamente negli ultimi mesi.
Il malware FoggyWeb si concentra sull'esfiltrazione delle credenziali
La minaccia sembra essere utilizzata in attacchi altamente mirati e è probabile che i criminali abbiano piani più grandi per il futuro della loro operazione. Questa minaccia funziona come un Trojan backdoor, che raccoglie ed esfiltra silenziosamente i dati dai server compromessi. Sebbene il suo obiettivo principale siano le credenziali di accesso, l'impianto potrebbe anche rubare file specifici o altre informazioni. Inoltre, supporta un'ampia gamma di comandi remoti, che gli aggressori potrebbero eseguire tramite il loro server di comando e controllo. Finora, il malware FoggyWeb sembra essere una backdoor con l'unico scopo di infettare i server ADFS. Naturalmente, è possibile che gli hacker di Nobelium possano rielaborarlo per mirare ad altri ambienti e servizi in futuro.
È probabile che gli hacker di SolarWinds facciano affidamento su campagne di spearphishing e-mail abilmente progettate per fornire il carico utile. Questo è stato il caso nel maggio 2021, quando hanno impersonato l'Agenzia statunitense per lo sviluppo internazionale. Naturalmente, le tattiche di propagazione del malware utilizzate dagli attori APT di alto profilo si evolvono costantemente. Non sarebbe una sorpresa se scegliessero di esplorare anche altre tecniche.
