Gen 09, 2024 Attacchi, Minacce, News, RSS

Di recente il gruppo turco Sea Turtle ha cominciato a prendere di mira le compagnie dei Paesi Bassi: a dirlo è il team di ricerca di Hunt and Hackett, compagnia olandese di cybersecurity, che ha studiato le attività del gruppo negli ultimi due anni.

Conosciuto anche come Teal Kurma, Marbled Dust, SILICON e Cosmic Wolf, il gruppo APT agisce con l’obiettivo di sottrarre informazioni da entità pubbliche e private, situate principalmente in Europa e Medio Oriente. Sea Turtle colpisce per lo più agenzie governative, gruppi curdi come il PKK, organizzazioni non governative, compagnie di telecomunicazioni, ISP e organizzazioni del settore dell’intrattenimento. Le informazioni raccolte vengono usate sia per spionaggio che per ottenere notizie su un obiettivo specifico e condividerle col governo turco.

Il gruppo è attivo dal 2017, ma solo a partire dal 2020 ha affinato le sue tecniche di elusione per mantenere persistenza nei sistemi. Nello stesso anno Sea Turtle ha cominciato a colpire anche organizzazioni nei Paesi Bassi, specialmente di telecomunicazioni e provider di servizi IT.

“L’infrastruttura degli obiettivi era vulnerabile ad attacchi contro la supply chain e di island-hopping che il gruppo ha sfruttato per ottenere informazioni di utilità politica come dati personali su gruppi minoritari e potenziali dissensi politici” afferma il team di sicurezza.

Generalmente gli attaccanti di Sea Turtle riescono a entrare nei sistemi sfruttando delle vulnerabilità conosciute o entrando in possesso delle credenziali di alcuni account delle compagnie, anche se non è ancora chiaro in che modo.

Nella campagna più recente, scoperta nel 2023, i ricercatori hanno scoperto l’uso di una reverse shell TCP chiamata SnappyTCP usata per stabilire la persistenza sui sistemi. Il team ha anche individuato un repository GitHub pubblico da cui il gruppo ha preso il codice per sferrare i propri attacchi. Al momento il repository non è più presente sulla piattaforma.

Sea Turtle è ancora attivo, quindi il team di Hunt and Hackett chiede alle organizzazioni, in particolare alle compagnie di telecomunicazioni e di provider IT, di seguire alcune buone pratiche per ridurre la superficie di attacco e il rischio di rimanere vittime del gruppo.

Per prima cosa le imprese dovrebbero implementare sistemi EDR e di monitoraggio delle connessioni in entrata e uscita, oltre a definire e applicare policy di autenticazione robuste. Le compagnie dovrebbero inoltre mantenere aggiornati i software e ridurre il numero di sistemi esposti sul web. 

• APT, persistenza, reverse shell tcp, Sea Turtle, state sponsored, vulnerabilità