Uno sguardo più da vicino all'attore Turla Advanced Persistent Threat

Nel campo della sicurezza informatica, il panorama delle minacce persistenti e in evoluzione mette continuamente alla prova i difensori di tutto il mondo. Tra la miriade di avversari, un gruppo ha attirato un'attenzione significativa per la sua raffinatezza, persistenza e natura sfuggente: Turla, noto anche come Waterbug, Venomous Bear o Uroboros.

Origini ed evoluzione

Le radici di Turla risalgono ai primi anni 2000, quando emerse come gruppo di spionaggio informatico che prendeva di mira principalmente governi, istituzioni militari, ambasciate e organizzazioni di ricerca. Inizialmente, Turla si concentrò sull’esfiltrazione di informazioni sensibili per un vantaggio strategico. Nel corso del tempo, tuttavia, le sue tattiche, tecniche e procedure (TTP) si sono evolute, dimostrando notevole adattabilità e resilienza contro le misure difensive.

Prime operazioni e tattiche

Nelle sue fasi nascenti, Turla si è affidata a strumenti malware di base e tattiche di ingegneria sociale per infiltrarsi nelle reti prese di mira. I vettori più comuni includevano e-mail di spear phishing con allegati o collegamenti dannosi, lo sfruttamento delle vulnerabilità del software e lo sfruttamento degli attacchi Watering Hole per compromettere i siti Web legittimi frequentati dal gruppo demografico target.

Il primo arsenale di malware del gruppo comprendeva Trojan di accesso remoto (RAT) come "Agent.BTZ" e "Turla", che consentivano il controllo remoto dei sistemi compromessi. Questi strumenti hanno facilitato l’esfiltrazione dei dati, la registrazione dei tasti premuti e le attività di sorveglianza, gettando le basi per operazioni più sofisticate negli anni a venire.

Maturazione e capacità avanzate

Con l’evoluzione delle difese della sicurezza informatica, Turla si è adattata, incorporando tecniche di evasione avanzate e sfruttando gli exploit zero-day per mantenere l’accesso alle reti target. In particolare, il gruppo ha sviluppato strumenti personalizzati su misura per obiettivi specifici, dimostrando un elevato livello di sofisticazione operativa e competenza nello sviluppo di malware.

Una delle tecniche distintive di Turla è l'abuso dell'infrastruttura legittima per la comunicazione di comando e controllo (C2). Prendendo il controllo di domini attendibili, utilizzando server compromessi o sfruttando servizi cloud, il gruppo maschera le proprie attività dannose, rendendo difficile l'attribuzione e il rilevamento per i difensori.

Arsenale del malware: uno sguardo più da vicino

Al centro delle attività di Turla c'è il suo toolkit malware diversificato e in costante evoluzione. Nel corso degli anni, il gruppo ha implementato una serie di sofisticati software dannosi, ciascuno progettato per soddisfare obiettivi specifici eludere il rilevamento da parte di soluzioni antivirus e difese di rete.

All’interno del vasto repertorio di malware distribuito dal gruppo Turla Advanced Persistent Threat (APT), diverse varianti degne di nota hanno lasciato un segno significativo nel panorama della sicurezza informatica. Tra questi, "Kazuar", "ComRAT" e "TinyTurla" si distinguono come formidabili strumenti utilizzati da Turla nelle sue campagne di spionaggio.

Kazuar: il camaleonte dello spionaggio

Kazuar, che prende il nome dallo storione del Mar Caspio, incarna l'adattabilità e la furtività di Turla. Questo strumento modulare di accesso remoto (RAT), identificato per la prima volta nel 2017, funge da strumento versatile per penetrare e sorvegliare le reti target. La forza di Kazuar risiede nel suo design modulare, che consente agli operatori Turla di personalizzare le sue funzionalità per soddisfare specifici obiettivi di missione.

Le caratteristiche principali di Kazuar includono:

Operazione furtiva: Kazuar utilizza tecniche di evasione avanzate per eludere il rilevamento da parte di soluzioni di sicurezza, consentendo l'implementazione segreta all'interno degli ambienti target.
Comunicazione robusta: facilitando l'interazione senza soluzione di continuità tra endpoint compromessi e operatori remoti, Kazuar sfrutta canali di comunicazione sicuri come HTTP e HTTPS.
Funzionalità flessibili: dalla raccolta di sequenze di tasti e l'acquisizione di screenshot alla raccolta di metadati di sistema, Kazuar offre un'ampia gamma di funzionalità di spionaggio su misura per le esigenze operative di Turla.
Con la sua capacità di adattarsi all'evoluzione delle misure difensive e il suo ampio set di funzionalità, Kazuar rimane uno strumento potente nell'arsenale di Turla, rappresentando una sfida formidabile per i difensori che cercano di rilevarne e mitigarne l'impatto.

ComRAT: una piattaforma di spionaggio persistente

ComRAT, noto anche come Agent.BTZ e il malware di "seconda fase" di Turla, rappresenta la pietra angolare delle operazioni di spionaggio informatico di Turla. Emerso nel 2007, ComRAT ha subito diverse iterazioni, evolvendosi in una sofisticata piattaforma di spionaggio in grado di condurre una sorveglianza approfondita e mantenere un accesso persistente alle reti compromesse.

Gli attributi chiave di ComRAT includono:

Raccolta dati avanzata: ComRAT eccelle nella raccolta di un'ampia gamma di informazioni sensibili da sistemi compromessi, inclusi documenti, e-mail e credenziali.
Comunicazione segreta: utilizzando tecniche come il tunneling DNS e la steganografia, ComRAT facilita l'esfiltrazione discreta dei dati eludendo il rilevamento da parte dei meccanismi di monitoraggio della rete.
Architettura modulare: simile a Kazuar, ComRAT presenta un design modulare, consentendo agli operatori Turla di adattare le sue funzionalità a specifici requisiti operativi.
In quanto piattaforma di spionaggio a tutti gli effetti, ComRAT sottolinea l'impegno di Turla per l'innovazione tecnologica e l'eccellenza operativa nel perseguimento dei propri obiettivi.

TinyTurla: l'agente di spionaggio leggero

TinyTurla, un agente di spionaggio leggero osservato per la prima volta nel 2019, rappresenta un allontanamento dalle tradizionali tattiche malware di Turla. A differenza dei suoi predecessori, che spesso facevano affidamento su capacità complesse e sofisticate, TinyTurla adotta un approccio minimalista, concentrandosi su furtività e agilità.

Le caratteristiche principali di TinyTurla includono:

Design compatto: l'ingombro ridotto e il codice minimalista di TinyTurla ne rendono difficile il rilevamento e l'analisi, consentendo un'implementazione invisibile all'interno degli ambienti target.
Sorveglianza mirata: nonostante la sua semplicità, TinyTurla eccelle nel condurre una sorveglianza mirata, raccogliere informazioni sensibili e facilitare l'accesso remoto ai sistemi compromessi.
Basso consumo di risorse: progettato per funzionare in modo efficiente su sistemi con risorse limitate, TinyTurla minimizza il suo impatto sugli endpoint compromessi, riducendo la probabilità di rilevamento.
Sebbene meno ricco di funzionalità rispetto a Kazuar e ComRAT, il design leggero e l'agilità di TinyTurla lo rendono una risorsa preziosa nelle campagne di spionaggio di Turla, evidenziando ulteriormente l'adattabilità e l'innovazione del gruppo di fronte all'evoluzione delle difese della sicurezza informatica.

TinyTurla-NG o Next Generation è stato utilizzato in una campagna di attacco contro le ONG polacche alla fine del 2023. Secondo un rapporto di Cisco Talos, TinyTurla-NG funziona come una piccola backdoor dell'"ultima possibilità", progettata per essere utilizzata quando altri strumenti di accesso non autorizzati hanno fallito o sono stati rilevati su sistemi compromessi.

Il Pelmeni Wrapper è un altro strumento nell'arsenale dannoso di Turla, che dimostra le seguenti capacità:

• Registrazione operativa: crea un file di registro nascosto con nomi ed estensioni casuali per monitorare discretamente l'attività della campagna.
• Consegna del carico utile: utilizza un metodo di decrittazione su misura utilizzando un generatore di numeri pseudocasuali per consentire il caricamento e l'esecuzione delle funzioni.
• Reindirizzamento del flusso di esecuzione: manipola i thread di processo e introduce l'iniezione di codice per reindirizzare l'esecuzione su un assembly .NET decrittografato che ospita i componenti centrali del malware.

Guardando al futuro, contrastare la minaccia Turla richiede un approccio articolato che comprenda la condivisione delle informazioni sulle minacce, strategie proattive di difesa della rete e la collaborazione tra enti del settore pubblico e privato. Comprendendo le tattiche del gruppo, sfruttando tecnologie di sicurezza all'avanguardia e promuovendo una cultura di consapevolezza della sicurezza informatica, le organizzazioni possono difendersi meglio dalla minaccia in continua evoluzione posta da Turla e da simili attori di minacce persistenti avanzate.