Operation Layover: attacco all'industria aeronautica

Una campagna di phishing mirata rivolta all'industria aeronautica per due anni potrebbe essere guidata da un attore di minacce che opera dalla Nigeria, evidenziando come gli aggressori possono effettuare offensive informatiche su piccola scala per lunghi periodi di tempo rimanendo sotto il radar.

Cisco Talos ha soprannominato gli attacchi malware "Operation Layover", basandosi su una precedente ricerca del team Microsoft Security Intelligence nel maggio 2021 che ha approfondito una "campagna dinamica mirata ai settori aerospaziale e dei viaggi con e-mail di spear-phishing che distribuiscono un caricatore sviluppato attivamente, che quindi consegna RevengeRAT o AsyncRAT."

"L'attore […] non sembra essere tecnicamente sofisticato, poiché utilizza malware standard sin dall'inizio delle sue attività senza sviluppare il proprio malware", hanno affermato i ricercatori Tiago Pereira e Vitor Ventura . "L'attore acquista anche i crypter che consentono l'utilizzo di tale malware senza essere rilevato, nel corso degli anni ha utilizzato diversi cryptor, per lo più acquistati su forum online".

Si ritiene che l'attore delle minacce sia attivo almeno dal 2013. Gli attacchi coinvolgono e-mail contenenti documenti esca specifici incentrati sull'industria aeronautica o cargo che pretendono di essere file PDF ma si collegano a un file VBScript ospitato su Google Drive, che alla fine porta a la distribuzione di trojan di accesso remoto (RAT) come AsyncRAT e njRAT, lasciando le organizzazioni vulnerabili a una serie di rischi per la sicurezza. Cisco Talos ha affermato di aver trovato 31 diverse esche a tema aeronautico risalenti all'agosto 2018.

Ulteriori analisi dell'attività associata ai diversi domini utilizzati negli attacchi mostrano che l'attore ha intrecciato più RAT nelle proprie campagne, con l'infrastruttura utilizzata come server di comando e controllo (C2) per Cybergate RAT, AsyncRAT e un file batch utilizzato come parte di una catena di malware per scaricare ed eseguire altro malware.

"Molti attori possono avere conoscenze tecniche limitate ma essere comunque in grado di utilizzare RAT o ladri di informazioni, ponendo un rischio significativo per le grandi aziende nelle giuste condizioni", hanno affermato i ricercatori. "In questo caso, […] quella che sembrava una semplice campagna è, in realtà, un'operazione continua attiva da tre anni, che prende di mira un intero settore con malware standard camuffato con diversi crypter".