Hacker statali russi distribuiscono un malware che sopravvive alle procedure di recupero standard

Un ceppo di malware recentemente documentato chiamato OWAReaper sta costringendo i team di sicurezza a ripensare a cosa significhi realmente "ripulire dopo una violazione". Distribuito da un gruppo legato allo stato russo noto come Laundry Bear, OWAReaper è stato utilizzato contro agenzie governative negli Stati Uniti e in Europa, insieme a organizzazioni in settori critici. Ciò che lo rende degno di nota non è solo chi prende di mira, ma quanto tenacemente si aggrappa a un sistema compromesso una volta penetrato.

La maggior parte delle organizzazioni reagisce a un sospetto di compromissione ruotando le credenziali e, nei casi più gravi, cancellando e re-imaging i dispositivi compromessi. OWAReaper è progettato specificamente per vanificare entrambi questi passaggi. Secondo quanto riportato sul malware, conferisce agli attaccanti l'accesso a livello di proprietario alle cassette postali di Exchange Server, un livello di autorizzazione che persiste anche dopo il cambio delle password e la ricostruzione completa delle macchine.

Come OWAReaper sopravvive alle vostre difese di sicurezza

La rotazione delle credenziali è una delle prime azioni che un team di risposta agli incidenti esegue dopo aver rilevato attività sospette. È pensata per bloccare gli attaccanti invalidando tutti i nomi utente e le password rubate. OWAReaper evita tutto ciò perché il suo accesso non è legato a un insieme specifico di credenziali. Al contrario, incorpora autorizzazioni a livello di proprietario sulle cassette postali direttamente nell'ambiente di Exchange Server, un punto d'appoggio che continua a funzionare indipendentemente dalla modifica delle password.

Il re-imaging, ovvero il processo di cancellazione di un dispositivo e reinstallazione di un sistema operativo pulito, è generalmente considerato l'opzione nucleare per eliminare le minacce persistenti. Dovrebbe rappresentare un nuovo inizio. La progettazione di OWAReaper tiene conto specificamente di questo scenario, consentendo all'accesso dell'impianto di sopravvivere alla ricostruzione. Per i difensori, questo è il dettaglio più allarmante: uno strumento che molte organizzazioni considerano un reset garantito non garantisce più nulla quando è coinvolto questo tipo di malware.

Si tratta di un cambiamento significativo nel modo in cui gli attori sponsorizzati dallo stato affrontano la persistenza. Invece di fare affidamento su malware che può essere trovato ed eliminato, o su credenziali revocabili, Laundry Bear sembra puntare alla struttura stessa dei permessi del server di posta. È un problema più difficile da risolvere perché richiede alle organizzazioni di verificare la configurazione e i diritti di accesso, non solo di cercare file dannosi o reimpostare le password.

Perché gli obiettivi dei settori critici sono particolarmente esposti

Le agenzie governative e gli operatori di infrastrutture critiche sono obiettivi appetibili per i gruppi sponsorizzati dallo stato proprio perché i loro sistemi di posta elettronica spesso contengono comunicazioni sensibili, discussioni politiche e dettagli operativi. Un impianto che concede un accesso a lungo termine a livello di proprietario alle cassette postali fornisce agli attaccanti una finestra silenziosa e continua su queste informazioni, molto tempo dopo che l'intrusione iniziale avrebbe altrimenti potuto essere contenuta.

Questo schema di attori legati alla Russia che prendono di mira infrastrutture e sistemi aziendali non è isolato. Altri recenti incidenti, incluso il caso in cui Stadler Rail ha rifiutato una richiesta di riscatto multimilionaria dopo che gli attaccanti hanno colpito i server di posta Zimbra, mostrano una tendenza più ampia di gruppi statali e criminali che sondano l'infrastruttura di posta elettronica aziendale in più settori e paesi. I server di posta, siano essi Exchange o Zimbra, rimangono un obiettivo costantemente attraente perché si trovano al centro delle comunicazioni interne di un'organizzazione e spesso detengono le chiavi per ulteriori accessi.

Cosa significa questo per te

Se lavori in un'agenzia governativa, in un'organizzazione di un settore critico o in qualsiasi azienda che esegue Exchange Server on-premises, OWAReaper ci ricorda che i playbook standard di risposta agli incidenti potrebbero non essere sufficienti da soli. Ruotare le password e ricostruire le macchine sono ancora passaggi necessari, ma non dovrebbero essere considerati come la prova che un'intrusione sia stata completamente risolta.

Per i team IT e di sicurezza, ciò significa verificare direttamente le autorizzazioni delle cassette postali di Exchange Server, cercando in particolare concessioni di accesso a livello di proprietario non esplicitamente autorizzate. Anche la segmentazione della rete è importante in questo contesto: limitare la possibilità per un attaccante di muoversi lateralmente da un server di posta compromesso riduce i danni anche se meccanismi di persistenza come OWAReaper sono presenti. L'uso di una VPN per l'accesso amministrativo remoto all'infrastruttura di posta, combinato con controlli di accesso rigorosi, restringe i percorsi a disposizione degli attaccanti che cercano di raggiungere questi sistemi in primo luogo.

Per i dipendenti di tutti i giorni, i consigli pratici rimangono familiari ma importanti: siate cauti con le email inaspettate, segnalate immediatamente qualsiasi cosa insolita all'IT e rendetevi conto che una cassetta postale compromessa può colpire colleghi e partner che ricevono messaggi da essa, non solo il titolare dell'account.

Conclusioni operative

Le organizzazioni che eseguono Exchange Server, in particolare in ambienti governativi o di settori critici, dovrebbero considerare la rotazione delle credenziali e il re-imaging come risposte necessarie ma insufficienti a un sospetto di compromissione. I team di sicurezza dovrebbero verificare specificamente le autorizzazioni di proprietario delle cassette postali piuttosto che presumere che una ricostruzione pulita risolva la persistenza. La segmentazione della rete e l'accesso amministrativo protetto da VPN possono limitare i movimenti degli attaccanti anche quando un impianto come OWAReaper sopravvive alla bonifica iniziale. Infine, rimanere informati su come i gruppi legati alla Russia come Laundry Bear stanno evolvendo le loro tattiche aiuta i team di sicurezza ad anticipare simili trucchi di persistenza nelle campagne future, anziché reagire a posteriori.