Kaspersky svela l’evoluzione delle tattiche del gruppo APT ToddyCat nelle campagne di cyberspionaggio

I ricercatori Kaspersky hanno scoperto importanti sviluppi nelle attività del gruppo APT (Advanced Persistent Threat) ToddyCat; rivelando l’evoluzione delle loro strategie e una nuova serie di loader progettati per agevolare le operazioni malevole

ToddyCat, un sofisticato gruppo APT che si è fatto notare per la prima volta a dicembre 2020 a causa dei suoi attacchi di alto profilo ad aziende in Europe e Asia, continua a essere una temibile minaccia. Inizialmente, il report di Kaspersky si è focalizzato sugli strumenti principali di ToddyCat – Ninja Trojan e Samurai Backdoor – ma anche sui loader utilizzati per lanciare questi payload malevoli. Da questo momento, gli esperti di Kaspersky hanno creato delle firme speciali per monitorare l’attività dannosa degli attori. Una delle firme è stata rilevata all’interno di un sistema e i ricercatori hanno iniziato una nuova indagine che ha portato alla scoperta dei nuovi strumenti di ToddyCat.

Nel corso dello scorso anno, i ricercatori Kaspersky hanno scoperto una nuova generazione di loader sviluppata da ToddyCat, a dimostrazione degli sforzi continui del gruppo nell’affinare le proprie tecniche di attacco. Questi loader giocano un ruolo essenziale nella fase di infezione, consentondo la diffusione del Ninja Trojan. È interessante notare che, occasionalmente, ToddyCat sostituisce i loader standard con una variante personalizzata, adattata a sistemi specifici. Questo loader personalizzato mostra funzionaltà simili, ma si distingue per il suo schema crittografico unico, che tiene conto di caratteristiche di sistema specifiche, come il tipo di drive e il volume GUID (globally unique identifier).

Per mantenere una persistenza a lungo termine sui sistemi compromessi, ToddyCat impiega tecniche diverse, tra cui la creazione di una chiave di registro e di un servizio corrispondente. Questo assicura che il codice malevolo sia caricato durante l’avvio del sistema, una tattica che ricorda i metodi della backdoor Samurai del gruppo.

L’indagine di Kaspersky ha rilevato altri strumenti e componenti aggiuntivi, come Ninja, un agent versatile con diverse funzionalità, come la gestione dei processi, il controllo del file system, le sessioni di reverse shell, la code injection e l’inoltro del traffico di rete. Inoltre, ToddyCat utilizza LoFiSe per trovare file specifici, DropBox Uploader per il caricamento di dati su Dropbox, Pcexter per l’esfiltrazione di file di archivio su OneDrive, una Backdoor UDP passiva per la persistenza e CobaltStrike come loader che comunica con un URL specifico, spesso precedendo la distribuzione di Ninja. Questi risultati dimostrano quanto sia ampio il kit di strumenti di ToddyCat.

Queste ultime scoperte confermano la ricerca costante di obiettivi di spionaggio da parte di ToddyCat e spiegano come il gruppo si infiltri nelle reti aziendali, conduca movimenti laterali e raccolga informazioni importanti. ToddyCat si avvale di numerose tattiche che includono attività di scoperta, catalogazione di domini e movimenti laterali con l’unico scopo di raggiungere i propri obiettivi di spionaggio.

“ToddyCat non si limita a violare i sistemi, ma organizza operazioni a lungo termine per raccogliere informazioni importanti in un periodo prolungato, adattandosi alle nuove condizioni per non essere scoperto. Le tattiche avanzate e la capacità di adattamento confermano che non si tratta di qualcosa di passeggero. Le aziende devono riconoscere che il panorama delle minacce si è evoluto; perciò non bisogna considerare solo l’aspetto difensivo, ma è necessario essere vigili e flessibili. Per restare al sicuro è fondamentale investire in soluzioni di sicurezza di alto livello e avere accesso alle ultime scoperte di threat intelligence”, ha dichiarato Giampaolo Dedola, Lead Security Researcher at GReAT di Kaspersky.

Per evitare di diventare vittime di un attacco mirato da parte di cybercrimali conosciuti o sconosciuti, gli esperti di Kaspersky consigliano di implementare le seguenti misure di sicurezza:

• Consentire al team SOC l’accesso a tutte le più recenti informazioni sulle minacce. Kaspersky Threat Intelligence Portal è un unico punto di accesso alla Threat Intelligence di Kaspersky, che fornisce dati e approfondimenti sui cyber attacchi, raccolti dal team Kaspersky in oltre 20 anni.
• Formare il proprio team di sicurezza informatica per affrontare le più recenti minacce mirate grazie a Kaspersky online training, sviluppato dagli esperti del GreAT.
• Implementare soluzioni EDR, come Kaspersky Endpoint Detection and Response, per il rilevamento a livello endpoint, le indagini e la tempestiva risoluzione in caso di incidenti.
• Oltre ad adottare la protezione endpoint di base, è importante installare anche una soluzione di sicurezza per le aziende, come Kaspersky Anti Targeted Attack Platform, in grado di rilevare sin dagli stadi iniziali le minacce avanzate a livello di rete.
• Poiché molti attacchi mirati iniziano con il phishing o altre tecniche di social engineering, è bene introdurre sessioni di formazione per sensibilizzare sulle tematiche di sicurezza informatica e fornire competenze pratiche al proprio team, ad esempio attraverso il programma Kaspersky Automated Security Awareness Platform.