Argomento del post: Threat intelligence

Guida per la difesa proattiva

Prodotto da ISAC per i servizi finanziari, ISAC per le tecnologie dell'informazione, ISAC per l'alimentazione e l'agricoltura, ISAC per la salute, ISAC per l'aviazione, ISAC per l'automotive, ISAC per la vendita al dettaglio e l'ospitalità, ISAC per il sistema di trasporto marittimo, ISAC per l'elettricità e il Consiglio nazionale degli ISAC, con contributi dei partner del settore privato dell'ISAC per le comunicazioni.

Scaricare

Versione testuale:

Analisi della minaccia dei ragni sparsi

Introduzione

I membri del National Council of ISACs (NCI) ritengono con elevata sicurezza che il gruppo di attori Scattered Spider rappresenti una minaccia reale e che la sua capacità di sfruttare le vulnerabilità umane attraverso l'ingegneria sociale renda il gruppo un rischio significativo per le organizzazioni.

Questa analisi descrive in dettaglio l'attività di Scattered Spider in base alle sue attività commerciali osservate nei vari settori a partire da maggio 2025, fornendo:

🔹 Informazioni di base su Scattered Spider in modo che le aziende possano valutare meglio la loro superficie di minaccia

🔹 Procedure tecniche e pratiche culturali per contrastare gli attacchi del ragno sparso

🔹 Analisi del membro del Centro di condivisione e analisi delle informazioni (ISAC) e dell'intelligence dell'FBI e corrispondente MITRE ATT&CK® mitigazioni

Secondo la valutazione di esperti di intelligence, le misure raccomandate si sono dimostrate efficaci contro Scattered Spider e simili attori di minaccia. Le misure di mitigazione incorporano le necessità di base del FS-ISAC. fondamenti informatici, incentrato sulle TTP (tattiche, tecniche e procedure) di Scattered Spider basate sulle minacce note.

Tuttavia, gli autori delle minacce come Scattered Spider sono in continua innovazione, pertanto le organizzazioni devono essere diligenti nel monitorare costantemente i propri processi e le proprie identità per individuare nuovi exploit.

Questi risultati sono stati ottenuti in collaborazione dagli ISAC dei settori Servizi Finanziari, Tecnologie dell'Informazione, Agroalimentare, Sanità, Aviazione, Automotive, Commercio al Dettaglio e Ospitalità e Sistema di Trasporto Marittimo, e dall'NCI. L'NCI comprende 28 organizzazioni ed è progettato per massimizzare il flusso di informazioni tra le infrastrutture critiche del settore privato e le agenzie governative.

Contesto e TTP

Scattered Spider è un gruppo di giovani operatori indipendenti motivati finanziariamente, più che ideologicamente, nel Regno Unito, negli Stati Uniti e in Canada. Secondo i ricercatori, Scattered Spider fa parte di una più ampia comunità di hacker nota come The Community o The Com, che si organizza tramite piattaforme online, tra cui le chat di gruppo Discord e Telegram. Scattered Spider utilizza tecniche di ingegneria sociale altamente efficaci e furto di credenziali per accedere alle reti target, quindi monetizza i suoi attacchi attraverso furto di dati, estorsione o operazioni ransomware di affiliazione. Il gruppo è noto per la sua ampia attività di ricognizione che identifica i profili da adottare o i dipendenti da prendere di mira. Gran parte del successo di Scattered Spider è attribuito alla sua velocità e alla sua capacità di targeting adattabile e a basso sforzo.

*****

Sidebar:

Gli autori delle minacce partecipano spesso a chiamate e teleconferenze per la risoluzione e la risposta agli incidenti, probabilmente per identificare il modo in cui i team di sicurezza li stanno braccando e sviluppare proattivamente nuove vie di intrusione in risposta alle difese delle vittime. A volte, questo obiettivo viene raggiunto creando nuove identità nell'ambiente, spesso supportate da falsi profili sui social media per proteggere le nuove identità create. Avviso di sicurezza informatica: ragno sparso – una consulenza congiunta del Federal Bureau of Investigation (FBI) e della Cybersecurity and Infrastructure Security Agency (CISA)

*****

Attivo dall'inizio del 2022, Scattered Spider è stato inizialmente osservato prendere di mira aziende di telecomunicazioni e di outsourcing dei processi aziendali (BPO), probabilmente come trampolino di lancio per operazioni di social engineering volte a ottenere accesso non autorizzato ad altri obiettivi e ai loro stakeholder. Da allora, il gruppo è stato collegato a oltre 100 attacchi in diversi settori verticali di mercato, ma tende a colpire un settore alla volta. Scattered Spider è noto per la compromissione di Caesars Entertainment e MGM Resorts nel 2023 e per l'attacco a Twilio nel 2022, che ha provocato un attacco alla supply chain che ha colpito l'app di messaggistica Signal. Ha preso di mira rivenditori statunitensi e britannici nell'aprile e nel maggio 2025, per poi spostare la sua attenzione sul settore finanziario, in particolare sulle compagnie assicurative, e sul settore dell'aviazione.

1. Accesso iniziale ottenuto tramite:

   >Attacchi di ingegneria sociale

   >Attacchi di affaticamento MFA

2. Acquisisce privilegi di amministratore tramite:

   • Dumping delle credenziali
   • Credenziali e segreti memorizzati

3. Persistenza ottenuta da:

>Attività pianificate

>Servizi dannosi

>Creazione di utenti locali

>Meccanismi di persistenza del cloud

4. Evasione della difesa abilitata da:

>Disattivazione AV/EDR

>Modifica dei GPO di Windows

>Disattivazione di Defender, registrazione o telemetria

>Rimozione dei driver EDR

5. Movimento laterale tramite:

>PsExec

>Comunicazione remota PowerShell

>WMI

>Connessioni VPN o Citrix legittime

Una tattica tipica è quella di convincere gli agenti dell'helpdesk IT a eseguire reimpostazioni self-service delle password (SSPR) per gli account presi di mira. Le tecniche di Scattered Spider includono l'uso di messaggi di testo brevi (SMS) — cioè messaggi di testo — e phishing vocale (smishing e vishing) per acquisire credenziali per dashboard Single Sign-On (SSO), Microsoft Office 365/Azure, VPN e dispositivi edge.

Il gruppo è noto anche per dirottare l'autenticazione a più fattori (MFA) tramite lo scambio di SIM (Subscriber Identity Module). Successivamente, riesce a neutralizzare l'MFA sfruttando l'affaticamento delle notifiche o convincendo gli operatori dell'helpdesk a reimpostare il metodo MFA degli account presi di mira.

Dopo aver compromesso con successo l'account di un utente, gli agenti di Scattered Spider registrano altri dispositivi sotto quell'account. Quando riesce a ottenere privilegi amministrativi, crea account controllati dall'aggressore all'interno dell'ambiente della vittima. Quindi, l'autore della minaccia stabilisce la persistenza per l'accesso non autorizzato all'ambiente della vittima e crea ridondanza per contrastare i tentativi di rimozione del malware o di accesso.

Le successive attività di ricognizione includono il tentativo di individuare piattaforme aziendali, tra cui Windows, Linux, Google Workspace, Microsoft Entra ID (in precedenza Azure Active Directory), Microsoft 365, AWS e altri strumenti ospitati nell'infrastruttura cloud, e di spostarsi lateralmente, scaricando gli strumenti appropriati per esfiltrare dati sensibili.

*****

Sidebar:

Health-ISAC ha ricevuto informazioni che collegano la botnet Amadey agli attacchi Scattered Spider. La botnet Amadey è stata utilizzata da autori di ransomware come BlackSuit, BlackBasta e Akira per diffondere malware nelle reti delle vittime. La botnet è riuscita a eludere le azioni delle forze dell'ordine contro le piattaforme malware-as-a-service (MaaS), il che le ha permesso di evolversi dal 2018.

*****

Questa profonda conoscenza dell'infrastruttura nativa della vittima consente a Scattered Spider di eseguire attività nefaste. È grazie a questa profonda conoscenza – ad esempio, la sua capacità di eseguire tecniche di "living-off-the-land" – che il gruppo può eludere i metodi di rilevamento standard. Il gruppo di minacce può anche distribuire malware che rilascia driver firmati dannosi progettati per terminare i processi associati al software di sicurezza ed eliminare file.

Scattered Spider utilizza nomi di dominio di phishing registrati di recente e altamente convincenti che imitano portali di accesso legittimi, in particolare le pagine di autenticazione Okta. Questi domini hanno una durata o un tempo di attività brevi, rendendone difficile il rilevamento.

Dal 2023, Scattered Spider è stato osservato utilizzare cinque distinti kit di phishing, poiché le strategie di distribuzione del gruppo si sono evolute per includere provider di DNS dinamici. Inoltre, il gruppo ha incluso il trojan di accesso remoto (RAT) Spectre nella sua catena di attacco per la distribuzione di malware su sistemi compromessi al fine di ottenere un accesso persistente. Questo malware include meccanismi per la disinstallazione remota e la mediazione di connessioni a server di comando e controllo (C2) aggiuntivi, il che suggerisce che il gruppo potrebbe utilizzare l'infrastruttura C2 per condurre azioni post-sfruttamento sulle reti delle vittime.

*****

Sidebar:

Ragno sparso Consulenza sulla sicurezza informatica prodotto congiuntamente dall'FBI, dalla CISA, dalla Royal Canadian Mounted Police, dall'Australian Cyber Security Centre dell'Australian Signals Directorate, dalla Australian Federal Police, dal Canadian Centre for Cyber Security e dal National Cyber Security Centre del Regno Unito

*****

raccomandazioni

Le seguenti raccomandazioni si sono dimostrate efficaci per i membri dell'ISAC. Molte sono tratte dal documento FS-ISAC fondamenti informatici, un approccio di difesa approfondita basato sul rischio delle necessità di base della sicurezza informatica, applicabile alle organizzazioni a qualsiasi livello di maturità informatica.

Utilizzare un processo di verifica multicanale — Nessuna organizzazione dovrebbe affidarsi a un unico canale di comunicazione per le richieste di modifica delle password o di reimpostazione dell'autenticazione a più fattori (MFA) dei dipendenti. Alcune aziende potrebbero trarre vantaggio dall'utilizzo di un elenco predefinito di domande a cui solo il dipendente può rispondere per avviare le reimpostazioni delle password e dell'autenticazione a più fattori (MFA). E i dipendenti IT dovrebbero sempre sentirsi autorizzati a contestare le richieste di verifica di qualsiasi altro dipendente.

Passi d'azione:

• Il reparto IT dovrebbe utilizzare la verifica multicanale, tra cui:
• Verifica delle richieste effettuate tramite e-mail, SMS o telefono con una chiamata su un numero di telefono preregistrato e noto come valido
• PIN statici su un badge fisico
• Convalida visiva
• Utilizza una password vocale nota solo ai dipendenti, oppure una serie di risposte a domande difficili da indovinare, ad esempio: "Qual è il cognome da nubile di tua madre? Qual è la tua data di inizio impiego? Qual è il codice identificativo del tuo portatile da lavoro?"

Richiedere a due dipendenti di approvare determinati tipi di richieste, come ad esempio trasferimenti finanziari di importo elevato, o richieste provenienti da dipendenti con privilegi elevati.

• Contattare il responsabile del dipendente quando il dipendente richiede il ripristino sia delle credenziali che dell'MFA.
• Promuovere una cultura in cui il personale IT sia tenuto a mettere in discussione qualsiasi richiesta insolita o particolarmente delicata, anche da parte dei dirigenti, e ne abbia la possibilità, senza timore di ripercussioni.

Concentrarsi sulle tattiche di ingegneria sociale — Scattered Spider si affida a exploit di ingegneria sociale ed è molto creativo nell'uso di phishing, vishing e smishing. Il gruppo di minaccia spesso instilla un senso di urgenza nelle sue esche e fa leva sulle paure, l'empatia e il rispetto per l'autorità delle vittime. Includete queste TTP nelle simulazioni e testate le risposte dei dipendenti.

Passi d'azione:

• Implementare una formazione continua e obbligatoria sulla sicurezza e simulazioni di phishing con esche comuni e attuali.
• Adattare la formazione al ruolo: l'helpdesk IT, i rappresentanti del servizio clienti, il personale delle risorse umane e i dirigenti C-Suite potrebbero aver bisogno di una formazione più dettagliata e specifica sulle tattiche degli attori delle minacce e sulle campagne in corso.
• Formare gli addetti al servizio clienti sulle procedure di helpdesk. Ad esempio, ribadire che il loro helpdesk non chiederà mai a un dipendente di installare software di assistenza remota o di aggirare alcun controllo di sicurezza.
• Utilizzare il privilegio minimo in modo che i dipendenti, in particolare i rappresentanti del servizio clienti, richiedano una verifica aggiuntiva da parte dell'utente finale prima di concedere un accesso più ampio.

Esaminare i profili dei social media degli amministratori, in particolare degli amministratori cloud I profili e i post sui social media degli amministratori possono inavvertitamente mostrare informazioni relative al lavoro – ad esempio, responsabilità, storia lavorativa, colleghi, routine quotidiana – che gli autori delle minacce utilizzano per personalizzare gli attacchi (ad esempio, sfruttando gli itinerari di viaggio per stabilire credibilità o urgenza in una campagna di vishing). Gli amministratori cloud sono obiettivi particolari. Ottenere i loro privilegi di accesso fornirebbe agli autori delle minacce l'accesso e il controllo su preziose risorse cloud e la possibilità di causare danni estesi. Le aziende dovrebbero istituire policy sui social media che descrivano le informazioni sfruttate dagli autori delle minacce e proibiscano tali informazioni nei post sui social media. Esaminare regolarmente i social media degli amministratori, in particolare i post degli amministratori cloud, per verificarne la conformità alle policy sui social media.

Passi d'azione:

• Sviluppare e applicare policy dettagliate e specifiche per l'accesso ai social media, che spieghino i tipi di informazioni che è consentito pubblicare e quelli che non lo sono.
• Eseguire audit per garantire la conformità.
• Fornire formazione sui rischi derivanti dalla condivisione di dati professionali sensibili.

Valutare i diritti di accesso all'Helpdesk - I diritti di accesso all'helpdesk possono variare nel tempo, a volte assegnando privilegi a tutte le console di amministrazione, come flusso di posta, controlli di sicurezza, ecc. La verifica dei diritti di accesso all'helpdesk garantisce l'allineamento con le esigenze operative, impedendo al contempo accessi non autorizzati che potrebbero essere sfruttati da attori di minacce come Scattered Spider. I sistemi di gestione automatizzati migliorano la supervisione.

Passi d'azione:

• Implementare sistemi automatizzati per il monitoraggio continuo e la regolazione dei diritti di accesso.
• Pianificare revisioni di accesso regolari per garantire l'allineamento con le funzioni lavorative.

Monitorare le macchine virtuali negli ambienti cloud – Implementare strumenti di monitoraggio per fornire avvisi su attività non autorizzate delle macchine virtuali (VM), come servizi sospetti, utilizzo anomalo delle risorse e tentativi di escalation dei privilegi, con protocolli per isolare e arrestare rapidamente le VM sospette. Questa capacità di risposta rapida è fondamentale per identificare attività sospette, prevenire potenziali violazioni e mitigare le minacce.

Passi d'azione:

• Sviluppare un elenco delle attività consentite.
• Implementare sistemi di monitoraggio e di allerta e individuare eventuali lacune.
• Stabilire protocolli di risposta rapida per le attività non autorizzate.
• Eliminare gli strumenti RMM non necessari e incorporare honeytoken nell'utilizzo degli strumenti RMM per il rilevamento precoce e la definizione dell'impronta digitale.
• Configurare i browser e le attività in modo che eliminino regolarmente i cookie persistenti.
• Ridurre al minimo il periodo di validità di un cookie web: Scattered Spider li utilizza per stabilire un accesso persistente e l'esfiltrazione dei dati.

Esaminare i controlli di sicurezza dell'infrastruttura desktop virtuale - Assicurare che gli ambienti VDI (Virtual Desktop Infrastructure) siano protetti con MFA e monitorare costantemente le attività degli utenti.

Passi d'azione:

• Controllare l'elenco degli utenti VDI per assicurarsi che sia aggiornato.
• Applicare l'MFA.
• Non consentire ai dispositivi personali di accedere direttamente a Office 365, Enterprise Google Workspace, VPN aziendali, ecc.
• Richiedi MFA resistenti al phishing, come YubiKeys, Windows Hello for Business, ecc. Non fidarti che gli utenti approvino le richieste MFA o forniscano codici.
• Se un'organizzazione dispone di VDI per consentire l'accesso a terze parti, assicurarsi che tali VDI non possano accedere a Secure Shell (SSH) o protocolli di scrivania remota (RDP) o raggiungere siti Web non necessari all'utente per svolgere il proprio lavoro.
• Eseguire audit regolari e monitorare in tempo reale tutte le sessioni utente.
• Verificare che non vi siano MFA tramite SMS in nessuna applicazione, comprese quelle dei fornitori. L'MFA basata su SMS può comportare rischi significativi perché:
  • • I messaggi SMS possono essere intercettati perché non sono crittografati
    • Gli aggressori possono aggirare l'MFA tramite l'ingegneria sociale
    • Gli autori delle minacce possono ottenere il controllo di un numero di telefono, intercettare messaggi SMS e ottenere l'accesso non autorizzato tramite lo scambio di SIM
    • Le interruzioni possono impedire agli utenti di ricevere i codici di autenticazione

Identificare i punti di accesso e bloccare gli accessi ad alto rischio – Molte organizzazioni devono consentire a dipendenti, enti regolatori, fornitori terzi e altri soggetti di accedere alle proprie infrastrutture digitali. È necessario proteggere tutti i punti di accesso, in particolare quelli ad alto rischio, con controlli o blocchi e dare per scontato che tutti i fornitori di servizi gestiti siano compromessi.

Passi d'azione:

• Non concedere a terzi l'accesso illimitato alla rete aziendale.
• Sostituisci le VPN site-to-site con VDI utilizzando MFA resistenti al phishing e zero trust ove possibile.
• Identifica e blocca i domini appena creati che sembrano potenziali siti di phishing (ad esempio, nomi di dominio che effettuano typosquatting).
• Impedisce l'esecuzione di qualsiasi eseguibile RAT sui dispositivi gestiti.
• Bloccare i siti web di tutti gli strumenti di assistenza remota commerciali conosciuti.
• Implementare il blocco geografico ove possibile.
• Blocca le VPN commerciali che si connettono alla VPN aziendale o VDI con un servizio come ip2proxy o Spur.
• Blocca i tipi di dispositivi sulla VPN se non sono utilizzati dagli addetti al servizio clienti. (Gli aggressori hanno spesso utilizzato dispositivi Android x86.)

Autorizzazioni di audit concesse alle risorse umane - L'allineamento rigoroso delle autorizzazioni delle risorse umane alle necessità operative protegge i dati sensibili dei dipendenti e quelli finanziari.

Passi d'azione:

• Eseguire un audit completo delle autorizzazioni di accesso delle risorse umane.
• Rivedere i diritti di accesso dei fornitori e dei provider.
• Formare il personale delle risorse umane sui rischi legati alla sicurezza informatica e sulla corretta gestione dei dati.

Utilità di spostamento dei dati di ricerca nelle applicazioni SaaS - Il monitoraggio e il tracciamento dei movimenti dei dati all'interno dei sistemi SaaS (Software-as-a-Service) (ad esempio Salesforce o ServiceNow) sono fondamentali perché le applicazioni SaaS spesso dispongono di utilità di movimento dati (di terze parti) disponibili per vari scopi e possono contenere informazioni sensibili.

Passi d'azione:

• Integrare il monitoraggio dell'utilità di spostamento dei dati nei dati di registro.
• Imposta avvisi e controlli automatici per attività insolite sui dati.

Esamina gli indirizzi IP attendibili esenti da MFA - Le organizzazioni possono ridurre il rigore dell'MFA per quanto riguarda le richieste provenienti da una rete attendibile, come una VPN, una rete aziendale, ecc. Ridurre al minimo queste esenzioni MFA rafforza i controlli di accesso alla rete, un passaggio fondamentale per proteggere i dati finanziari e sensibili.

Passi d'azione:

• Rivedere e aggiornare l'elenco degli indirizzi IP attendibili nell'ambiente.
• Sostituisci l'inserimento di IP statici nella whitelist con criteri di accesso condizionale dinamico.

Riconoscere la minaccia interna rappresentata dai rappresentanti del servizio clienti — Scattered Spider spesso ottiene l'accesso iniziale ai sistemi aziendali ingannando i rappresentanti del servizio clienti, ma li recluta anche. Esegui regolarmente scansioni per individuare attività potenzialmente dannose.

Passi d'azione:

• Esaminare l'attività degli addetti al servizio clienti per individuare segnali di potenziale compromissione, come:
  • Un numero elevato di reimpostazioni di password o visualizzazioni di account in un breve periodo di tempo
  • Accedere agli account dei clienti senza eseguire i passaggi di verifica corrispondenti (ad esempio, inserendo il PIN del cliente, abbinandolo all'ANI, ecc.)
  • “Credential juggling”, ovvero l’accesso alla VPN con credenziali diverse da quelle utilizzate per accedere agli strumenti CSR
• Cerca nei registri di testo di supporto chat/email i tentativi di reclutamento utilizzando ricerche di stringhe che fanno riferimento a termini comuni utilizzati nelle richieste, come "Telegram", "Wickr" o "Diventa ricco".
• Implementare un accesso a tempo limitato per i rappresentanti del servizio clienti per le credenziali e la VPN e avvisare in caso di accessi al di fuori del normale orario di lavoro degli agenti.

Tattiche e misure di mitigazione contro i ragni sparsi

La tabella seguente include l'analisi degli esperti di sicurezza informatica dell'ISAC sulle informazioni condivise da migliaia di organizzazioni affiliate. Molte delle tattiche sono state scoperte dall'FBI durante le indagini su Scattered Spider, descritte nel rapporto congiunto. Avviso di sicurezza informatica CISA e FBI Scattered SpiderLe mitigazioni MITRE ATT&CK sono tratte dalla sua analisi dei TTP, basata sulle osservazioni del mondo reale dell'organizzazione.

VISUALIZZA IL PDF SOPRA.