Threat Intelligence per gli APT attraverso le Yara Rules

Threat Intelligence per gli APT attraverso le Yara rules

Facoltà di Scienze Tecnologiche e dell'Innovazione

Corso di Laurea in Ingegneria Informatica

Prova Finale in Sicurezza Informatica

Relatore Candidato

Chiar.mo Prof. Berardi Giovanni Luca Davide Pisacane

Matr. 0082101046

Anno Accademico 2023/2024

Indice

Introduzione 2

CAPITOLO 1 Threat Intelligence e Minacce informatiche

1.1 Minacce informatiche e Cybersecurity 4

1.2 Tipi di minacce informatiche 6

1.3 Advanced Persistent Threat 11

1.4 Identificazione e Prevenzione tramite la Threat Intelligence 14

CAPITOLO 2 Malware e Yara rules

2.1 Malware e tipi di Analisi 23

2.2 Introduzione alle Yara rules 25

2.3 Struttura e Sintassi delle Yara rules 26

2.4 Moduli utilizzati 30

2.5 Creazione di una regola efficace 31

2.6 Generazione automatica di regole 32

2.7 Qualità di una Yara rules 34

2.8 Miglioramento delle Yara rules tramite Fuzzy Hashing 35

CAPITOLO 3 Turla e la Strategia Di Offuscamento

3.1 Presentazione del gruppo criminale Turla 38

3.2 Tecniche di Offuscamento 41

3.3 Crittografia XOR 45

3.4 Yara rules per identificare crittografia XOR 47

Conclusioni................................................................................................49

Bibliografia................................................................................................50

Sitografia...................................................................................................53 1

Introduzione

Con l’avvento dell’era digitale e la massiccia diffusione di tecnologie dell’informazione, l’uomo si è trovato a dover fronteggiare una nuova problematica, le minacce informatiche. A causa dello sviluppo in campo tecnologico, anche le minacce hanno subito una crescita esponenziale.

L’avvento degli attacchi APT, a causa della loro furtività e persistenza, ha spinto i principali cultori della sicurezza a adottare nuove strategie per la sicurezza e la salvaguardia dei dati personali. In questo senso, la Threat Intelligence ha avuto una notevole importanza, poiché, grazie alla sua capacità di raccolta e analisi delle informazioni relative ai virus, ha dato la possibilità di poter anticipare le mosse degli attaccanti.

La fase di identificazione viene favorita da Yara, uno strumento che, tramite la creazione di determinate regole, permette di rilevare le minacce e i pattern malevoli, anche se sottoposti a tecniche di offuscamento.

Questo lavoro di tesi ha come scopo principale l’analisi delle varie fasi della Threat Intelligence, in particolar modo l’identificazione, agevolata dalle Yara rules. Infine, verrà preso in analisi il gruppo criminale Turla e si osserverà come contrastare l’offuscamento tramite algoritmo di XOR.

La ricerca comprende 3 capitoli:

• Nel Capitolo 1 ci si focalizzerà sulle minacce informatiche e su come identificarle e prevenirle. Si darà più importanza alle APT per poi concentrarsi sulle varie fasi del ciclo di vita della Threat Intelligence.
• Nel Capitolo 2 verranno introdotte le tipologie di analisi e uno strumento di rilevazione malware di nome Yara. Si andrà ad analizzare, nello specifico, la struttura, la sintassi, i moduli e gli strumenti per automatizzare la generazione delle Yara rules.
• Nel Capitolo 3, infine, verrà presentato Turla, noto gruppo criminale in attività da più di vent’anni, verrà fatta una panoramica sui tipi di offuscamento, usati per agevolare la persistenza dei malware, e verrà 2 mostrato come smascherare i threat actor, che fanno uso dell’algoritmo di XOR, con l’ausilio delle Yara rules.

Capitolo 1 Threat Intelligence e minacce informatiche

3

1.1 Minacce informatiche e Cybersecurity

Quando si tratta di minacce informatiche ci si riferisce ad attività dannose che prendono di mira sistemi informatici, reti e risorse digitali con l'intento di rubare, danneggiare, interrompere o ottenere accessi non autorizzati¹. Un contraltare al flusso di minacce in continua evoluzione è la Cybersecurity, la cui capacità di preservazione dei dati sensibili è direttamente proporzionale all’efficienza delle sue difese².

A un primo livello di analisi, un punto cardine della sicurezza è enucleabile in tre principi chiave che formano la cosiddetta triade CIA (Confidentiality, Integrity e Availability):

Triade CIA

• Confidentiality: fa riferimento alla necessità etica e legale di proteggere le informazioni sensibili dalla divulgazione o dall’accesso non autorizzato, attraverso l’utilizzo di specifiche misure protettive. Questo principio è stato concepito per garantire che solo persone o entità debitamente autorizzate possano accedere a dati specifici, garantendo così la riservatezza dei dati sensibili.

1 Cfr. J. Oluwaseyi, Understanding and Mitigating Cyber Threats: Strategies for Enhancing Cybersecurity, in “Cyber and Education Research”, Giugno 2024.

2 S. Patel (et al.), A Study on the Navigating Cybersecurity Challenges in the Digital-Era, in “International Journal for Multidisciplinary Research”, Volume 6 (2024), pp. 1-9. 4

• Integrity: pertiene alla protezione da modifiche o alterazioni non autorizzate delle informazioni. Ciò richiede che quest’ultime non vengano modificate senza la dovuta autorizzazione e che eventuali modifiche debbano essere registrate e documentate. Per verificare l’integrità dei dati, vengono molto spesso usati dei metodi crittografici, ovvero le funzioni hash e le firme digitali, poiché qualsiasi modifica al contenuto originale comporterà un cambiamento rilevabile nel valore hash.
• Availability: riguarda la garanzia che le persone autorizzate possano accedere facilmente alle informazioni, quando necessario. Ciò suggerisce che è fondamentale proteggere i sistemi informativi da interruzioni che potrebbero ostacolare l’accesso degli utenti alle informazioni³.

Lo scopo principale della triade CIA è quello di limitare le minacce informatiche. Essa fa infatti parte degli strumenti base per la progettazione sicura.

1.2 Tipi di minacce informatiche

La maggior parte delle volte, le minacce si traducono in attacchi informatici che generalmente avvengono a causa dei cosiddetti Threat Actors, di cui fanno parte Hacker, organizzazioni criminali e terroristi informatici. In base alle motivazioni degli attacchi, le minacce informatiche possono essere catalogate in:

3 O. Mitchell (et al.), Confidentiality, Integrity, and Availability in Network Systems: A Review of Related Literature, in “International Journal of Innovative Science and Research Technology”, Volume 8 (2024), pp. 1946-1955. 5

• Malware: sono software dannosi (file o codici diffusi in rete) che hanno lo scopo di infettare, danneggiare o controllare il sistema in cui accedono. Se ne riscontrano vari tipi: Ransomware, Spyware, Adware, Worms, Trojan, Botnet⁴.

Tipi di Malware

• Phishing: fa parte della categoria degli attacchi Social Engineering e di solito viene usato per rubare dati personali, tra cui credenziali d’accesso o informazioni sensibili, attraverso messaggi ingannatori che portano a un sito Web che impersona un’organizzazione⁵. Esempi di phishing possono essere: Clone Phishing, SMS Phishing,

4 M. A. Hama Saeed, Malware in Computer Systems: Problems and Solutions, in “International Journal on Informatics for Development”, Volume 9 (2020), pp. 1-8.

5 Cfr. A. Oest (et al.), Inside a phisher's mind: Understanding the anti-phishing ecosystem through phishing kit analysis, in “IEEE”, Maggio 2018. 6

Attacco Phishing

• Attacco Man in the Middle (MITM): è un attacco in cui l’attaccante si posiziona nel mezzo di una comunicazione tra due parti per ascoltare o imitare una delle due in modo da far apparire normale lo scambio di informazioni. L’obiettivo di questo attacco è l’appropriarsi di informazioni personali, come numeri di carte di credito o dati per il login⁶.

Attacco Man in the Middle

• Attacco DoS (Denial of Service): consiste nel saturare, con continue richieste, il server che, non riuscendo a rispondere a tutti i client, non funzionerà correttamente, rendendo la rete o la macchina non disponibile per gli utenti reali⁷.

6 A. Mallik (et al.), Man-in-the-middle-attack: Understanding in simple words, in “International Journal of Data and Network Science”, Volume 3 (2019), pp. 77-92. 7

Attacco DoS

• SQL Injection: è una delle minacce alla sicurezza più comuni nelle applicazioni basate su database, dove l’attaccante aggiunge istruzioni SQL attraverso i campi di tipo input di un’applicazione web, o per mezzo di parametri nascosti per accedere alle risorse. Interdetta così la validazione degli input, l’hacker riesce nel suo intento⁸.

SQL Injection

7 K. Santanu (et al.), An Innovative Approach to Devise Security Matrix to Measure Impact of Attack Vectors in Cloud Networks, in “International Journal of Advance Research in Computer Science and Management Studies”, Volume 2 (2014), pp. 42-53.

8 A. Tajpour (et al.), Web Application Security by SQL Injection Detection Tools, in “International Journal of Computer Science Issues”, Marzo 2012, pp. 1-8. 8

• Zero-day Exploit: sono delle falle non visibili nel sistema che i malintenzionati sfruttano per rendere i sistemi vulnerabili agli attacchi, prima che gli sviluppatori rilascino una patch per risolvere il problema. Nel tempo che intercorre alla risoluzione della falla, gli attaccanti possono ottenere accessi non autorizzati o effettuare altre attività criminali⁹.

Attacco Zero-day

• Ransomware: è una tipologia di Malware che, senza autorizzazione, infetta l’utente crittografandone i dati e limitandone l’accesso. L’effetto è irreversibile a meno che non si utilizzi una chiave di decrittografia. Per decriptare i dati, spesso gli aggressori chiedono denaro non tracciabile (come i Bitcoin), puntando al singolo individuo o alle grandi aziende in funzione della somma richiesta. Fino a quando quest’ultima non viene soddisfatta, l’utente non può accedere alle proprie risorse e rischia che quest’ultime vengano utilizzate o esposte¹⁰.

9 Cfr. D. Samuel, Zero-day Vulnerabilities: An In-depth analysis, in “Department of Computing & Informatics Bournemouth University”, Dicembre 2023.

10 U. Urooj (et al.), Ransomware Detection Using the Dynamic Analysis and Machine Learning: A Survey and Research Directions, in “Applied Sciences”, Volume 12 (2021), pp. 1-29. 9

Attacco Ransomware

• Attacco DNS: il DNS (Domain Name System) è un sistema che mappa i nomi dei domini con i numeri degli indirizzi IP. Un attacco DNS prende di mira più server DNS utilizzando le vulnerabilità del DNS e DNSSEC. Questo tipo di attacco ha come obiettivo quello di esaurire le risorse di sistema, corrompere dati o usare il sistema per completare l’attacco. Gli attacchi DNS possono essere classificati in quattro categorie: DNS Data tampering, DNS data flooding, abuse of DSN e DNS server structure¹¹.

Attacchi DNS

• APT (Advanced Persistent Threat)

1.3 Advanced Persistent Threat

Le Advance Persistent Threat (o APT) sono una delle insidie più significative per la cyber security mondiale. L’acronimo APT è stato coniato per la prima volta nel 2006 dalla US Air Force per definire cyberattacchi su vasta scala e di durata molto estesa contro bersagli specifici¹².

11 T. H. Kim, A survey of domain name system vulnerabilities and attacks, in “Journal of Surveillance, Security and Safety”, Gennaio 2020, pp. 34-60. 10

• Advanced: questi attacchi sono attuati da criminali tecnicamente competenti, dotati di macchine e fondi piuttosto rilevanti. Possono impiegare tattiche che possono coprire l’intero spettro di attacchi informatici, adoperando sia software di dominio pubblico sia software creati personalmente.
• Persistent: l’attacco è persistente in quanto si dilata per periodi di tempo molto estesi, con un target e un fine ben definito¹³.
• Threat: si tratta di una minaccia organizzata.

Generalmente, gli attaccanti sono hacker che lavorano per il governo o per i cyber mercenari. Spesso coadiuvando anche l’esercito e i servizi segreti, essi prendono di mira governi e organizzazioni in modo da assicurarsi vantaggi strategici, che vanno dalla geopolitica, alla sicurezza nazionale, all’ottenimento di informazioni top secret¹⁴.

12 W. Z. Khan, Advanced Persistent Threats Through Industrial IoT on Oil and Gas Industry, in “Global Foundation for Cyber Studies and Research”, Settembre 2019, pp. 1-11.

13 Cfr. C. T. Holzer (et al.), Employing Link Analysis for the Improvement of Threat Intelligence Regarding Advanced Persistent Threats, in “5th IAJC/ISAM International Conference”, Novembre 2016.

14 N. Sfetcu, Advanced Persistent Threats in Cybersecurity – Cyber Warfare, in “MultiMedia Publishing”, Giugno 2024, pp. 1-26. 11

Attacchi Tradizionali e APT a confronto

A differenza degli attacchi tradizionali, quelli APT sono unici e molto più complessi. Solitamente, il ciclo di vita di un APT è composto da cinque fasi:

1. Fase di Ricognizione: vengono raccolte tutte le informazioni, in ambito sia umano sia tecnologico, sull’organizzazione presa di mira. Ciò ha lo scopo di identificare i punti deboli per infiltrarsi all’interno della rete.
2. Fase di Incursione/Penetrazione: attraverso l’utilizzo di varie tecniche, l’APA (Advanced Persistent Adversary) prova a penetrare nella rete dell’organizzazione. A questo riguardo, si pensi allo spear phishing; al SQL injection, che inserisce codice dannoso in modo tale da permettere la distribuzione del malware; allo sfruttamento della vulnerabilità zero-day per trovare un’apertura nella rete.
3. Fase di Mantenimento dell’accesso: dopo il loro ingresso nella rete, gli attaccanti mantengono l’accesso al payload attraverso la distribuzione di un RAT (Remote Administration Tool), con il quale è possibile comunicare con il server di comando e controllo (C&C) esterno alla rete, solitamente con una comunicazione HTTP crittografata. In tal modo, dopo essersi mimetizzato, sarà più semplice aggirare il firewall e i sistemi di sicurezza. 12
4. Fase di Movimento laterale: l’APT si muove verso altri host non infetti, che generalmente sono dotati di privilegi di accesso più elevati. La probabilità che contengano informazioni classificate è quindi più alta.
5. Fase di Estrazione dei dati: all’insaputa dell’end user, l’host carica i dati raccolti, lentamente o in un’unica sequenza, su una qualsiasi fonte esterna o sul cloud¹⁵.

Ciclo di vita di un APT

Per fronteggiare questo genere di minacce, un ruolo molto importante è assunto dalla Threat Intelligence.

1.4 Identificazione e prevenzione tramite la Threat Intelligence

La Threat Intelligence (TI), o Cyber Threat Intelligence (CTI), può essere interpretata come un processo di raccolta, analisi e interpretazione riguardante le minacce, nuove o preesistenti, che potrebbero danneggiare un’organizzazione o un’infrastruttura. Essa ha come obiettivo quello di migliorare la Situational Awareness (consapevolezza de

15 S. Hussain (et al.), Advance Persistent Threat—A Systematic Review of Literature and Meta-Analysis of Threat Vectors, in “Advances in Computer, Communication and Computational Sciences”, Ottobre 2020, pp. 161-178. 13