Microsoft avverte del malware FoggyWeb che prende di mira i server FS di Active Directory

Microsoft lunedì ha rivelato un nuovo malware distribuito dal gruppo di hacker dietro l'attacco alla catena di approvvigionamento SolarWinds lo scorso dicembre per fornire payload aggiuntivi e rubare informazioni sensibili dai server Active Directory Federation Services ( ADFS ).

Il Threat Intelligence Center (MSTIC) del gigante tecnologico ha chiamato FoggyWeb "backdoor passiva e altamente mirata", rendendolo l'attore di minacce tracciato come l'ultimo strumento di Nobelium in una lunga lista di armi informatiche come Sunburst , Sunspot , Raindrop , Teardrop , GoldMax, GoldFinder , Sibot , Flipflop , NativeZone , EnvyScout, BoomBox e VaporRage .

"Una volta che Nobelium ottiene le credenziali e compromette con successo un server, l'attore fa affidamento su tale accesso per mantenere la persistenza e approfondire la sua infiltrazione utilizzando malware e strumenti sofisticati", hanno affermato i ricercatori di MSTIC . "Nobelium utilizza FoggyWeb per estrarre in remoto il database di configurazione dei server AD FS compromessi, del certificato di firma token decrittografato e del certificato di decrittografia token, nonché per scaricare ed eseguire componenti aggiuntivi".

Microsoft ha affermato di aver osservato FoggyWeb in natura già nell'aprile 2021, descrivendo l'impianto come una "DLL dannosa residente in memoria".

Nobelium è il soprannome assegnato dall'azienda al gruppo di hacker di stato nazionale ampiamente noto come APT29 , The Dukes o Cozy Bear - una minaccia avanzata e persistente che è stata attribuita al Foreign Intelligence Service (SVR) della Russia - e che si ritiene sia stata dietro l' attacco ad ampio raggio contro SolarWinds che è venuto alla luce nel dicembre 2020. L'avversario dietro questa campagna viene anche monitorato con una varietà di nomi in codice come UNC2452 (FireEye), SolarStorm (Unità 42), StellarParticle (CrowdStrike), Dark Halo (Volexity ), e Iron Ritual (Secureworks).

FoggyWeb, installato utilizzando un caricatore sfruttando una tecnica chiamata dirottamento dell'ordine di ricerca DLL , è in grado di trasmettere informazioni sensibili da un server AD FS compromesso, nonché di ricevere ed eseguire payload dannosi aggiuntivi recuperati da un server remoto controllato da un aggressore. È inoltre progettato per monitorare tutte le richieste HTTP GET e POST in entrata inviate al server dall'intranet (o da Internet) e intercettare le richieste HTTP di interesse per l'attore.

"La protezione dei server ADFS è fondamentale per mitigare gli attacchi Nobelium", hanno affermato i ricercatori. "Il rilevamento e il blocco di malware, attività di aggressori e altri artefatti dannosi sui server AD FS possono interrompere passaggi critici nelle catene di attacchi Nobelium note. I clienti dovrebbero rivedere la configurazione del server AD FS e implementare le modifiche per proteggere questi sistemi dagli attacchi".