Il malware della gang Conti è sempre più mirato: Bumblebee è il nuovo downloader che funge da ransomware-as-a-service e che, grazie a sofisticati controlli anti-virtualizzazione e anti rilevamento, riesce a eludere i controlli di sicurezza nascondendosi dietro finte fatture da pagare.
Infatti “Bumblebee è un downloader”, spiega Gaetano Scavo, Exprivia Cybersecurity Researcher, “un malware fatto per distribuire ransomware o a sua volta altri malware”.
L’obiettivo è quello di indurre la vittima designata a scaricare ed eseguire ulteriori payload pericolosi.
In realtà, Bumblebee va a rimpiazzare il noto malware BazarLoader usato per distribuire Cobalt Strike. “Bumblebee è l’ennesima innovazione del mondo cyber crime”, esordisce Pierguido Iezzi, esperto di cyber security e CEO di Swascan, “una conferma di come i veri innovatori nel mondo cyber siano purtroppo proprio i criminal hacker. Il loro modus operandi li spinge a identificare e sviluppare soluzioni ogni volta più sofisticate”.
Perché la gang ransomware Conti si schiera con Putin: come cambia il cyber crime
Indice degli argomenti
Bumblebee è il nuovo ransomware-as-a-service
“Tecniche, strumenti e procedure”, continua Iezzi, “devono essere costantemente evoluti non solo per bypassare i sistemi di sicurezza, ma soprattutto per garantirne l’efficienza in termini di tempo ed effort. Il rapporto costo/beneficio che regola il mondo del cyber crime”.
Ma “allo stesso tempo questo approccio all’innovazione”, sottolinea l’esperto di cyber security, “soprattutto per le gang di ransomware-as-a-service, è anche marketing: un vero e proprio ‘biglietto da visita’ per aumentare la propria esposizione e attirare un numero maggiore di affiliati”.
Lo schema d’attacco
La gang Conti distribuisce Bumblebee mediante e-mail di phishing con cui chiede alle vittime di pagare una fattura in scadenza.
Tuttavia, il messaggio contiene un link che conduce a un’immagine ISO di cui hanno effettuato l’upload su OneDrive.
A volte, i cyber criminali nascondono il link in un allegato HTML. Dentro l’immagine ISO ci sono due file (.lnk e .dat). Basta cliccare sul file .lnk per eseguire il file .dat che avvia Bumblebee.
Altre volte, invece, l’immagine ISO è un allego all’email in formato ZIP. Al posto del file .dat, ad avviare Bumblebee un file .dll.
Google Drive, in altri casi, sostituisce OneDrive, per attaccare, ma il risultato non cambia.
A questo punto il malware:
- fa incetta di informazioni del sistema sotto attacco;
- dà il via alla comunicazione con il server C2 (command and control) per ottenere istruzioni;
- tramite il downloader, Bumblebee può scaricare sul computer altri malware, compresi ransomware.
I dettagli tecnici
“Bumblebee è distribuito attraverso email di phishing”, continua Gaetano Scavo, “con le quali gli attaccanti chiedono il pagamento di una fattura fittizia. Il messaggio contiene un link che porta al download di un’immagine ISO caricata su cloud. I n molti casi, il link di download si trova nella mail. All’interno dell’immagine ISO ci sono due file (.lnk e .dat). Cliccando sul file .lnk viene eseguito il file .dat che avvia Bumblebee. In altri casi, l’immagine ISO è allegata direttamente all’email in formato .ZIP. Nella ISO è presente un file .dll che avvia il malware. Una volta che il malware è installato, raccoglie informazioni sul sistema e inizia a comunicare con il server Command & Control (C2). In base alla quantità di tempo necessaria a Bumblebee per ricevere i payload da eseguire, è probabile che i payload pianificati vengano distribuiti manualmente. In particolare, vengono eseguite le seguenti query WMI tramite un COM object per raccogliere i dettagli necessari per la comunicazione:
- SELECT * FROM Win32_ComputerSystem
- SELECT * FROM Win32_ComputerSystemProduct
Pertanto, dopo aver raccolto tutte le informazioni necessarie, il loader avvia la comunicazione con il Command & Control (C2). Esso verifica il C2 ogni 25 secondi per recuperare i comandi. A differenza della maggior parte dei malware che hanno una serie di payload che vengono immediatamente restituiti al bot, per questo malware i payload possono essere distribuiti manualmente a Bumblebee poiché potrebbero essere necessarie diverse ore prima che riceva qualsiasi payload da eseguire. Il loader di Bumblebee supporta i seguenti comandi:
- Shi: comando che ha il compito di eseguire una injection di shellcode
- Dij: comando che aggiunge la possibilità di iniettare DLL nella memoria di altri processi. Per gli obiettivi di injection, il malware seleziona una delle tre opzioni hardcoded in cui iniettare la DLL (ImagingDevices.exe, wab.exe o wabmig.exe).
- Dex: comando che prende il contenuto decodificato in base64 dalla risposta del server, lo scrive su disco in un percorso hardcoded e lo esegue tramite un COM object
- Sdl: Comando che esegue la disinstallazione del loader
- Ins: comando che abilita la persistenza copiando la DLL di Bumblebee in una sottodirectory della cartella %APPDATA% e tramite uno script di Visual Basic viene caricata la DLL. Inoltre, Viene costruito un task pianificato che richiama lo script di Visual Basic tramite wscript.exe.
- È un loader insolito in quanto per la quasi totalità è costituito da un’unica funzione mentre, notoriamente, la maggior parte dei malware parcellizza l’inizializzazione, l’invio di richieste e la gestione della risposta in diverse funzioni per aumentare la complessità. Un altro aspetto abbastanza insolito è che la sua configurazione è memorizzata in chiaro in un file plain-text. Ciò nonostante Bumblebee implementa sofisticate tecniche per eludere il rilevamento. Nell’ultimo mese si è arricchito di nuove tecniche come i controlli anti-virtual machine e anti-sandbox e, più recentemente, è stato aggiunto un livello di crittografia alle sue componenti che si interfacciano con i servizi di rete, oltre ad una serie di sofisticati controlli capaci di rilevare strumenti di analisi del malware stesso. Ecco alcuni IoC utili per riconoscere immagine ISO utilizzata: SHA256 hash: d5f84837ec58879f2911b6834bb497d9b9ebba0b196ddf7e1f6b02dfccbc3276
- acb4007ac2eb34445394cbe66bd45782ff77119e05e5aa2b58567ef3a07b7755
- 1c4e5a51d9446f3fefd6366a1d7a536c873c518e82db3291a17802609c340d21
- 5dfb336d76117d16f7baecb5653cb86f363c61f2497ad12d1cf47aeb02b5c398
- 6483435f12ab4a0babe3abeda8511e1f00560f1e4482f30fa2ed32daf39c0be1
MD5 hash:
- 28681fefcfa45116730d7a9de2199680
- bbe0958c3bea6bf0717eb82223188729
- 6f915d61b3de967bf1d14d733307b36e
- 76d35633286e5bf84f477ea691a4bf37
- df34f23037c5dc05c2f03513928b4b97
File name: 0421110.iso StolenImages_Evidence.iso documents042115.iso invoice_152_request.iso BUMBLEBEE ISO.iso File type: ISO Affinché si possa riconosce il file zip, che potrebbe essere presente in allegato alla mail, il quale contiene l’ISO malevola è utile far riferimento ai seguenti IoC:
SHA256 hash:
- 9fc926e5cd51f41f9d20885362d35ba594c4fbb9f8983b6a3e79d77d9e5887a2
- 70eb84a6bce741ff988116434e4f531a724257185ab92df8fcfa90b3def6568f
- 6214e19836c0c3c4bc94e23d6391c45ad87fdd890f6cbd3ab078650455c31dc8
MD5 hash:
- acdf14233e685af386b2bde7ba9d1554
- 85dc41208bdd21cfad8ec8b86e14a0e8
- f411c1a716639d477d0838bba30a8fbb
File name: 25_OrdersReport_Doc.zip request_doc_140.zip BUMBLEBEE ZIP (2).zip File type: ZIP Per quanto riguarda il file .dll utilizzato per avviare il malware, è possibile identificarlo attraverso i seguenti IoC:
SHA256 hash:
- 7333dafbe1771c055aa40acc2f8d34b812ec2bf81ab3ae7976753040eea1b0bd
- 44d33b2210902a982b123806a6f9e2d02c0b198b79b9cbe3f74df5072c13af84
- a22c4f9df00887d5d329466f3cc94e71ca5f9adc23df15834a3001e404095aba
MD5 hash:
- 582b7d4c035a5df8cc871e583a80e448
- acaff37ee9103eb5586a1d19f6817675
- aaf6ded96b838123fab2fa8ee649b1a3
File name:
- tools.dll
- 9hloq0.dll
- a22.dll
File type: exe
Come proteggersi
“Chi opera nel mondo della cyber security sarà costantemente alla rincorsa”, se non cambia approccio, afferma Iezzi. Infatti, “la staticità in questo scenario non paga. Il compito di ogni esperto di sicurezza deve essere quindi quello di giocare d’anticipo. Come? Analizzando e anticipando le nuove possibili minacce attraverso le attività di Threat Intelligence. E, allo stesso tempo, identificando tecniche, processi e competenze che possano rendere inefficaci le innovazioni del cyber crime”.
“La cyber security non è innovativa” conclude Iezzi, bensì “è un connubio di resistenza e resilienza scaturito dalla corretta applicazione dei paradigmi della security by detection & by reaction”.
