Giu 04, 2024 Attacchi, In evidenza, News, RSS, Vulnerabilità

I ricercatori di TrendMicro hanno scoperto che il gruppo Water Sigbin, conosciuto anche come 8220 Gang, sta sfruttando due vulnerabilità di Oracle WebLogic per eseguire un miner di criptovalute tramite uno script PowerShell.

Il gruppo, di origine cinese, è attivo almeno dal 2017 e ha sempre orbitato nel mondo del malware per il mining, soprattutto negli ambienti cloud e sui server Linux.

Il primo bug è CVE-2017-3506, una vulnerabilità in Oracle WebLogic Server che consente a un attaccante non autenticato con accesso via HTTP di compromettere il server tramite la creazione, cancellazione o modifica dei dati, anche quelli critici; il secondo è invece CVE-2023-21839, una vulnerabilità di deserializzazione insicura che permette a un attaccante di accedere a tutti i dati di WebLogic server.

I ricercatori hanno scoperto che il gruppo sta colpendo sia macchine Linux che Windows; gli attacchi contro quest’ultimo sistema sono quelli più di nota in quanto Water Sigbin ha utilizzato delle tecniche di offuscamento sofisticate.

Il gruppo usa l’encoding esadecimale per offuscare l’URL usato per la comunicazione e utilizza la porta HTTP 443 per le comunicazioni con il server C2. Lo script PowerShell consiste di due parti: una stringa in base64 che contiene il codice binario e le istruzioni per eseguirlo e una funzione responsabile di effettuare il decoding della stringa, scrivere il contenuto in un file .bat ed eseguirlo.

Il file .bat sfrutta le variabili d’ambiente per offuscare il codice originale, rendendolo complesso da analizzare. Il file contiene ulteriori stringe in base64 che rappresentano il codice effettivo, il quale deve essere processato, decodificato e decompresso per essere eseguito.

“L’uso di sofisticate tecniche di offuscamento come la codifica esadecimale degli URL, la codifica complessa all’interno di PowerShell e degli script batch, l’uso di variabili d’ambiente e l’offuscamento stratificato per nascondere il codice dannoso all’interno di script apparentemente benigni, dimostra che Water Sigbin è un gruppo in grado di nascondere abilmente le proprie tracce, rendendo il rilevamento e la prevenzione più impegnativi per i team di sicurezza” spiegano i ricercatori di TrendMicro.

Al momento non è stato reso noto l’effettivo impatto degli attacchi del gruppo. Per proteggersi da questo tipo di attacchi, i ricercatori ricordano di mantenere aggiornati i software e installare il prima possibile le patch di sicurezza, segmentare la rete per ridurre la superficie di attacco, effettuare audit di sicurezza regolari e definire un piano di risposta agli incidenti. 

• Oracle, PowerShell, TrendMicro, vulnerabilità, Water Sigbin, weblogic server