0 
0 O agente de ameaças cibernéticas conhecido como TA569, ou SocGholish, comprometeu o código JavaScript usado por um provedor de conteúdo de mídia para espalhar o malware FakeUpdates para os principais meios de comunicação nos EUA.
De acordo com uma série de tweets da Proofpoint Threat Research Team postados na quarta-feira, os invasores adulteraram a base de código de um aplicativo que a empresa não identificada usa para veicular vídeo e publicidade em sites de jornais nacionais e regionais. O ataque da cadeia de suprimentos está sendo usado para espalhar o malware personalizado do TA569, que normalmente é empregado para estabelecer uma rede de acesso inicial para ataques subsequentes e entrega de ransomware.
A detecção pode ser complicada, alertaram os pesquisadores: “O TA569 removeu e restabeleceu historicamente essas injeções JS maliciosas de forma rotativa”, de acordo com um dos tweets. “Portanto, a presença da carga útil e do conteúdo malicioso pode variar de hora em hora e não deve ser considerado um falso positivo”.
Mais de 250 sites de jornais regionais e nacionais acessaram o JavaScript malicioso, com organizações de mídia impactadas atendendo cidades como Boston, Chicago, Cincinnati, Miami, Nova York, Palm Beach e Washington, DC, de acordo com a Proofpoint. No entanto, apenas a empresa de conteúdo de mídia afetada conhece toda a extensão do ataque e seu impacto nos sites afiliados, disseram os pesquisadores.
Os tweets citaram o analista de detecção de ameaças da Proofpoint, Dusty Miller , o pesquisador sênior de segurança Kyle Eaton e o pesquisador sênior de ameaças Andrew Northern pela descoberta e investigação do ataque.
Links históricos para Evil Corp
FakeUpdates é um malware de acesso inicial e uma estrutura de ataque em uso desde pelo menos 2020 (mas potencialmente antes ), que no passado usava downloads drive-by disfarçados de atualizações de software para se propagar. Anteriormente, ele foi vinculado à atividade do suspeito grupo de crimes cibernéticos russo Evil Corp, que foi formalmente sancionado pelo governo dos EUA.
Os operadores geralmente hospedam um site malicioso que executa um mecanismo de download drive-by – como injeções de código JavaScript ou redirecionamentos de URL – que, por sua vez, aciona o download de um arquivo que contém malware.
Os pesquisadores da Symantec observaram anteriormente a Evil Corp usando o malware como parte de uma sequência de ataque para baixar o WastedLocker , então uma nova variedade de ransomware, nas redes de destino em julho de 2020.
Uma onda de ataques de download drive-by que usaram a estrutura ocorreu no final daquele ano, com os invasores hospedando downloads maliciosos, aproveitando os iFrames para servir sites comprometidos por meio de um site legítimo.
Mais recentemente, os pesquisadores vincularam uma campanha de ameaçasdistribuindo FakeUpdates por meio de infecções existentes do worm Raspberry Robin baseado em USB, um movimento que significou uma ligação entre o grupo cibercriminoso russo e o worm, que atua como um carregador para outros malwares.
Como abordar a ameaça da cadeia de suprimentos
A campanha descoberta pela Proofpoint é mais um exemplo de invasores usando a cadeia de suprimentos de software para infectar código compartilhado em várias plataformas, para ampliar o impacto de ataques mal-intencionados sem ter que trabalhar mais.
De fato, já existem vários exemplos do efeito cascata que esses ataques podem ter, com os agora infames cenários SolarWinds e Log4J entre os mais proeminentes.
O primeiro começou no final de dezembro de 2020 com uma violação no software SolarWinds Orion e se espalhou até o ano seguinte , com vários ataques em várias organizações. A última saga se desenrolou no início de dezembro de 2021, com a descoberta de uma falha apelidada de Log4Shell em uma ferramenta de log Java amplamente utilizada . Isso estimulou várias explorações e tornou milhões de aplicativos vulneráveis a ataques, muitos dos quais permanecem sem correção até hoje.
Os ataques à cadeia de suprimentos tornaram-se tão prevalentes que os administradores de segurança estão procurando orientação sobre como preveni-los e mitigá-los, o que tanto o setor público quanto o privado têm prazer em oferecer.
Seguindo uma ordem executiva emitida pelo presidente Biden no ano passado orientando as agências governamentais a melhorar a segurança e a integridade da cadeia de suprimentos de software, o Instituto Nacional de Padrões e Tecnologia (NIST) no início deste ano atualizou suas orientações de segurança cibernética para lidar com o risco da cadeia de suprimentos de software. A publicação inclui conjuntos personalizados de controles de segurança sugeridos para várias partes interessadas, como especialistas em segurança cibernética, gerentes de risco, engenheiros de sistemas e funcionários de compras.
Os profissionais de segurança também ofereceram às organizações conselhos sobre como proteger melhor a cadeia de suprimentos, recomendando que eles adotem uma abordagem de segurança zero, monitorem parceiros terceirizados mais do que qualquer outra entidade em um ambiente e escolham um fornecedor para necessidades de software que oferece atualizações de código frequentes.
FONTE: DARK READING