Una nuova campagna di phishing sottrae gli hash NTLM per l’autenticazione

Mar 06, 2024 Attacchi, Hacking, In evidenza, News, Phishing

I ricercatori di Proofpoint hanno individuato una nuova campagna di phishing che mira a sottrarre gli hash NTLM di Windows e usarli per ottenere le password degli utenti in chiaro.

Dietro gli attacchi ci sarebbe TA577, un gruppo attivo da metà del 2020 affiliato a Qbot e legato alle attività del ransomware BlackBasta. Il gruppo prende di mira organizzazioni di diversi settori in tutto il mondo, ed è considerato un Initial Access Broker (IAB).

A fine febbraio i ricercatori hanno intercettato decine di centinaia di messaggi email diretti a utenti di organizzazioni di tutto il mondo. I messaggi erano risposte a email precedenti (attacco di thread hijacking) e contenevano allegati HTML in archivi .zip. 

Una volta estratto il file .zip e aperto l’HTML, il file tentava di connettersi a un server SMB controllato dagli attaccanti tramite un reindirizzamento verso un URI. L’obiettivo della campagna di phishing non era scaricare un malware, ma ottenere le coppie Challenge/Response di NTLM per sottrarre l’hash; questa informazione poteva poi essere usata per individuare la password in chiaro o eseguire degli attacchi “Pass-The-Hash”, consentendo al gruppo di autenticarsi sui sistemi aziendali.

Il team di Proofpoint fa notare che l’uso di un archivio .zip per distribuire l’HTML serve a superare i controlli di sicurezza di Outlook introdotti a luglio: se l’URI del file scheme fosse stato inviato direttamente nel corpo del messaggio di posta elettronica, l’attacco non avrebbe funzionato sui client Outlook; ciò evidenzia un impegno notevole da parte del gruppo nel rimanere sempre aggiornato e sviluppare tecniche per eludere i nuovi controlli

Proofpoint spiega che il gruppo non ha mai sferrato attacchi di questo genere e che sta investendo tempo e risorse per migliorare velocemente le sue tecniche. “Rispetto ad altriIAB, TA755 sembra avere il polso del panorama delle minacce e sa quando e perché specifiche catene di attacco smettono di essere efficaci e creerà rapidamente nuovi metodi per eludere i controlli e tentare di aumentare l’efficacia e la probabilità di colpire le vittime con la consegna dei payload”.

Per proteggersi da questo tipo di attacchi, i ricercatori consigliano di bloccare le connessioni SMB in uscita.

• autenticazione, IAB, NTLM, pass-the-hash, Phishing, ta577, Windows