Il gruppo APT russo Gamaredon perfeziona la distribuzione del malware e il camuffamento dell’infrastruttura

Secondo recenti informazioni sulla campagna, il gruppo di minaccia legato allo Stato russo noto come Gamaredon sembra aver migliorato sia il modo in cui carica il codice dannoso, sia le tecniche con cui nasconde i server alla base delle sue operazioni.

Gamaredon, che i ricercatori di sicurezza associano ad attività di intelligence riconducibili al Servizio di sicurezza federale russo, è noto da tempo per prendere di mira organizzazioni di interesse strategico. Gli ultimi cambiamenti suggeriscono che il gruppo stia continuando a evolvere le proprie tecniche operative in modi che potrebbero rendere più difficili il rilevamento e l’interruzione delle attività.

Cosa è cambiato

I ricercatori affermano che l’operazione è diventata più efficace nella distribuzione del malware, riducendo probabilmente le possibilità che i difensori possano analizzare o bloccare il payload prima della sua esecuzione. Allo stesso tempo, il gruppo sta adottando ulteriori misure per occultare l’infrastruttura utilizzata per il comando e controllo, rendendo più difficile identificare i sistemi coinvolti e disattivarli rapidamente.

Questi adattamenti potrebbero non rappresentare una revisione completa della campagna, ma indicano comunque uno sforzo costante per migliorarne l’affidabilità e la capacità di sopravvivenza. Per i difensori, ciò significa in genere finestre di risposta più brevi e una maggiore dipendenza da metodi di rilevamento multilivello, anziché dalle sole firme.

Perché è importante

Il camuffamento dell’infrastruttura può ritardare le attività di attribuzione e disattivazione, mentre tecniche più flessibili di caricamento del malware possono aiutare gli aggressori a eludere le difese statiche. Insieme, questi cambiamenti possono aumentare la probabilità che un’intrusione rimanga attiva abbastanza a lungo da consentire la raccolta di dati, i movimenti laterali o la preparazione di azioni successive.

Le organizzazioni che potrebbero rientrare tra gli obiettivi di Gamaredon dovrebbero esaminare i propri controlli di monitoraggio e contenimento, soprattutto per quanto riguarda l’esecuzione di script sospetti, le connessioni in uscita insolite e i tentativi ricorrenti di contattare server esterni.

Priorità difensive

• Rafforzare il monitoraggio degli endpoint per individuare comportamenti insoliti di processi e script.
• Analizzare il traffico in uscita alla ricerca di anomalie e destinazioni sconosciute.
• Utilizzare l’intelligence sulle minacce per monitorare i cambiamenti dell’infrastruttura associata alla campagna.
• Limitare i movimenti degli aggressori applicando il principio del privilegio minimo e la segmentazione.

Sebbene gli ultimi aggiornamenti del gruppo non modifichino necessariamente i suoi obiettivi complessivi, dimostrano che l’aggressore continua ad adattarsi. Per i difensori, il messaggio è chiaro: le protezioni esistenti potrebbero dover essere aggiornate per tenere il passo con un’operazione che sta diventando più efficace sia nella distribuzione sia nel camuffamento.