Questa settimana, CTI analizza una nuova campagna che, secondo quanto osservato, sta diffondendo AsyncRAT. Successivamente, CTI spiega come un autore di minacce noto come Water Curupira stia attivamente diffondendo il malware loader PikaBot tramite campagne di spam. CTI conclude con un'analisi di una campagna a scopo di lucro denominata RE#TURGENCE, che prende di mira i server Microsoft SQL non protetti in tutto il mondo.
1. AsyncRAT fa la sua comparsa in una nuova campagna
AT&T Alien Labs ha individuato una nuova campagna che distribuisce il malware AsyncRAT (si apre in una nuova scheda) alle vittime. Da 11 mesi, l’autore della campagna distribuisce il malware tramite un file JavaScript iniziale incorporato in una pagina di phishing. I ricercatori hanno individuato oltre 300 campioni e più di 100 domini che evidenziano la tenacia dell’autore dell’attacco.
Che cos’è AsyncRAT?
AsyncRAT è in circolazione almeno dal 2019 , anno in cui è stato rilasciato come strumento open source per l'accesso remoto. Lo strumento è ancora oggi disponibile all’indirizzo GitHub, il che lo rende uno dei RAT più diffusi tra gli autori delle minacce. È noto per l’utilizzo di keylogger, tecniche di esfiltrazione e la preparazione dell’accesso iniziale finalizzata alla distribuzione del payload finale.
Nel mese d settembre 2023, AT&T ha rilevato un picco nelle e-mail di phishing rivolte a un gruppo specifico di persone. Le e-mail di phishing contenevano un allegato GIF che reindirizzava a un file SVG. Il file SVG, a sua volta, ha portato al download di un file JavaScript altamente offuscato, seguito da script offuscati di tipo “ PowerShell ” e dall’esecuzione finale di un client AsyncRAT.
Analizzando i modelli presenti nel codice, i ricercatori di AT&T sono riusciti a identificare ulteriori campioni relativi a questa campagna, scoprendo campioni risalenti al febbraio 2023. La registrazione dei domini e l’individuazione di campioni di AsyncRAT sono ancora in corso.
Analisi tecnica
- Il caricatore di AsyncRAT prevede diverse fasi, ulteriormente occultate da un server C2 che verifica se il malware sia in esecuzione in un ambiente sandbox prima di distribuire il payload principale di AsyncRAT.
- Nel corso della campagna, i file JavaScript vengono trasmessi alla vittima tramite pagine web di phishing malevole. I file contengono lunghe stringhe che sono state commentate e presentano testi composti da parole disposte in ordine casuale, quali Melville, chiesa, capitolo e scozzese.
- Lo script stesso è fortemente offuscato e presenta diverse funzioni volte a spostare i comandi e le stringhe rilevabili. Il malware modifica periodicamente i valori C2 e URL , rendendo più difficile il suo rilevamento. Inoltre, sembra che l’autore dell’attacco stia cercando di creare una nuova versione del loader per ogni vittima. I nuovi file presentano nomi di variabili casuali, il che rende nuovamente difficile il loro rilevamento.
- Se il C2 riceve una risposta non valida e il malware è in esecuzione in una sandbox, reindirizzerà la richiesta a Google oppure restituirà uno script che si collega a un payload ospitato su temp[.]sh. Questo dominio ospita i file per circa tre giorni e genera un nuovo percorso casuale del tipo URL per ogni nuovo file caricato. A prima vista, il file sembra essere un client AsyncRAT, sulla base di alcuni dei rilevamenti effettuati dai programmi antivirus. Tuttavia, una volta decompilato, il RAT costituisce in realtà un diversivo per coloro che potrebbero indagare sulla campagna. Il campione è un file esca creato per assomigliare a un RAT, ma non contiene un server C2 e presenta stringhe quali LOL.
- Se il C2 riceve una risposta valida e il malware non è in esecuzione in una sandbox, fornirà uno script in cui il dominio successivo e l'indirizzo URL sono stati offuscati; tale script provvederà successivamente a scaricare AsyncRAT.
Infrastruttura di rete
Il codice utilizzato in questa campagna è in continua evoluzione ed è fortemente offuscato, il che può renderne difficile il rilevamento. Per quanto riguarda l’infrastruttura di rete, i campioni osservati hanno preso contatto con una serie di domini, aggiornando frequentemente l’elenco.
Sebbene i domini cambiassero spesso, presentavano comunque caratteristiche comuni, quali un TLD .top e otto caratteri alfanumerici casuali. Tra le ulteriori caratteristiche comuni figuravano il fatto che il registrar fosse Nicenic[.]net, Inc, che il codice paese fosse quello del Sudafrica e che i domini venissero sempre creati solo pochi giorni prima del loro utilizzo.
Uno script ha condotto i ricercatori a una nuova serie di domini che, a differenza del campione osservato in precedenza, non presentavano un dominio hardcoded nascosto dall’offuscamento. Al contrario, tali campioni contenevano uno script per il calcolo del dominio in base alla data corrente, consentendo loro di modificare automaticamente il dominio C2 nel corso del tempo.
L'algoritmo di generazione dei domini (DGA) ha generato un seme utilizzando il giorno dell'anno e vi ha apportato alcune modifiche per garantire che ogni sette giorni venga creato un nuovo dominio. Questo seme viene quindi utilizzato per selezionare 15 lettere, da “a” a “n”, al fine di generare il dominio. Tali modelli consentono ai ricercatori non solo di identificare campioni storici, ma anche di sviluppare sistemi di rilevamento per individuare infrastrutture future.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna costituisce un esempio lampante di quanto possano essere determinati gli autori delle minacce e di quanto sia facile per loro passare inosservati.
In molti casi, gli sviluppatori fanno sì che il malware si arresti completamente e si chiuda se viene rilevato che si trova in una sandbox, in modo che non possa essere ulteriormente analizzato. È interessante notare che, nell’ambito di questa campagna, lo sviluppatore abbia dedicato tempo e impegno supplementari alla creazione di un RAT esca, progettato essenzialmente per far perdere tempo all’analista prima che questi si rendesse conto di non aver ricevuto il vero malware.
Si tratta di un caso interessante in cui l’autore di un malware ha dedicato tempo supplementare a qualcosa che non rende il malware più difficile da individuare né più complesso, ma che mira semplicemente a infastidire gli analisti.
2. Water Curupira diffonde il malware PikaBot per i caricatori
Un attore malintenzionato noto come Water Curupira sta diffondendo attivamente il malware PikaBot, un loader di tipo “ ” (si apre in una nuova scheda) tramite campagne di spam.
Questo attore conduce generalmente campagne volte a introdurre backdoor e spesso è all’origine di attacchi ransomware (principalmente Black Basta).
Il loader PikaBot di (si apre in una nuova scheda) presenta molti degli stessi comportamenti del famigerato QBot e la sua crescente popolarità sembra coincidere con lo smantellamento di QBot.
Accesso iniziale
L'attacco ha inizio con un'e-mail dannosa inviata tramite dirottamento della conversazione. L'e-mail contiene un allegato che può essere un file ZIP protetto da password contenente un file IMG oppure un file PDF. Se necessario, il responsabile inserirà la password del file nell'e-mail.
Prima fase
L'archivio allegato all'e-mail contiene un codice JavaScript fortemente offuscato, con una dimensione del file superiore a 100 KB. Una volta eseguito, lo script inizierà a lanciare una serie di comandi. Lo script tenta l'esecuzione tramite cmd. Se l'operazione non va a buon fine, verrà visualizzata una stringa prestabilita sulla console e si tenterà di eseguire il ping di una destinazione specificata utilizzando la stessa stringa. Se questa operazione non dovesse andare a buon fine, utilizzerà Curl.exe per scaricare il payload di PikaBot da un server esterno.
È stata inoltre osservata un’altra catena di attacchi in cui l’autore della minaccia non ha utilizzato uno script dannoso, ma ha invece impiegato un file IMG proveniente dall’allegato PDF dell’e-mail, che conteneva due file aggiuntivi. Questi file aggiuntivi costituivano il payload di PikaBot. Quest'ultimo approccio è emerso verso la fine del 2023.
Payload di PikaBot
Trend Micro ha analizzato un file DLL estratto dall’archivio nella prima fase, riscontrando che si trattava di un campione di file DLL a 32 bit con 1515 esportazioni. La DLL, in ultima analisi, decrittografa ed esegue uno shellcode, che a sua volta decrittograferà un altro file DLL. Questo file DLL viene caricato in memoria e, alla fine, viene eseguito. Il file DLL decriptato esegue una routine anti-analisi che carica librerie errate e altri elementi irrilevanti nelle sandbox di Detect .
Dopo aver eseguito l’anti-analisi, il malware caricherà una serie di immagini PNG contenenti una porzione crittografata del modulo principale. Dopo averli decriptati, l’iniettore PikaBot crea un processo sospeso e vi inietta il modulo principale, ricorrendo a chiamate di sistema indirette per nascondere l’operazione di iniezione.
PikaBot utilizza due funzioni per ottenere gli indirizzi delle tre API necessarie. Tra queste figurano GetProcAddress, LoadLibraryA e HeapFree. Il modulo principale verificherà la lingua del sistema e interromperà l'esecuzione qualora risultasse che la lingua è il russo o l'ucraino.
Dopo essersi assicurata che al momento sia in esecuzione una sola istanza di se stessa, acquisirà i dati relativi al sistema da inviare al C2. Il malware creerà un pipe denominato e lo utilizzerà per memorizzare temporaneamente le informazioni aggiuntive che raccoglie. Una volta che il malware avrà raccolto tutte le informazioni che ritiene necessarie, le invierà a un indirizzo IP seguito da un’estensione specifica URL.
Impatto
Water Curupira conduce spesso campagne che portano all’installazione del ransomware Black Basta. È proprio questo che rende le campagne di PikaBot una minaccia così grave.
Trend Micro ha individuato distinti cluster di beacon di Cobalt Strike , con oltre 70 .C2 domini che rimandano a , Black Basta e che potrebbero essere stati diffusi tramite campagne condotte da questo attore malintenzionato.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Le infezioni da PikaBot tendono a comportare l'installazione del ransomware Black Basta. Di conseguenza, PikaBot non è una minaccia da sottovalutare.
Inoltre, numerosi ricercatori hanno individuato punti in comune e potenziali collegamenti tra PikaBot e QBot. È davvero sorprendente che QBot sia stato disattivato proprio nel periodo in cui PikaBot ha iniziato a guadagnare popolarità.
Sebbene non si sappia con certezza se PikaBot sia il nuovo QBot, i suoi potenziali legami con il ransomware Black Basta e la sua sofisticata struttura a più fasi ne fanno una minaccia da tenere in grande considerazione.
3. Gli hacker turchi sfruttano una vulnerabilità nei server globali di MS SQL
Una campagna a scopo di lucro, ora denominata con il nome in codice RE#TURGENCE, sta prendendo di mira in tutto il mondo i server non protetti Microsoft SQL tramite attacchi di forza bruta, al fine di ottenere un accesso iniziale. La campagna si conclude in uno dei due modi seguenti: il primo consiste nel vendere l’accesso ottenuto, mentre il secondo consiste nella distribuzione di un ransomware.
L’autore dell’attacco inizia con un attacco di forza bruta per penetrare in un server MS SQL scarsamente protetto, avvalendosi della procedura che consente di eseguire comandi a livello di sistema operativo dall’interno di un server SQL per eseguire comandi sull’host. Dopo aver eseguito il codice, hanno iniziato a lanciare ulteriori comandi dal processo sqlservr.exe.
- Il primo comando richiama il file eseguibile e comporta il download di un file, denominato 189jt, dal server remoto dell’autore dell’attacco, per poi eseguire il codice in esso contenuto utilizzando un’espressione di invocazione di tipo “ ” ( PowerShell). Lo script “ PowerShell ” scaricherà ed eseguirà la fase successiva dell’attacco.
- Il seguente script PowerShell contiene un payload Cobalt Strike offuscato che viene caricato nel processo attualmente in esecuzione. L’offuscamento è incentrato sulle importazioni delle DLL e sul payload di Cobalt Strike, nel quale sono state individuate centinaia di righe costituite da variabili e blocchi di commenti superflui. Il Beacon di Cobalt Strike è stato configurato per inserirsi nel processo nativo di Windows, SndVol.exe. L'autore dell'attacco ha quindi scaricato i file binari di AnyDesk da una risorsa di rete montata.
Accesso tramite credenziali
È stato rilevato che l’autore dell’attacco stava scaricando Mimikatz sul sistema tramite AnyDesk, insieme a un altro script batch utilizzato per automatizzare alcuni comandi di Mimikatz.
Lo script ha il compito di svolgere diverse funzioni. In primo luogo, utilizza una modifica nota al Registro di sistema per abilitare le credenziali in chiaro. Successivamente, esegue alcuni controlli prima di avviare Mimikatz dalla sottodirectory appropriata. I risultati dell'estrazione effettuata con Mimikatz vengono salvati in un file denominato Mimikatz_dump.txt.
Esplorazione e spostamento laterale
Dopo aver utilizzato Mimikatz, l'autore dell'attacco ha concentrato i propri sforzi sulla raccolta di informazioni. Hanno utilizzato AnyDesk per scaricare l'utilità Advanced Port Scanner. Questa utility è stata utilizzata per verificare le condivisioni remote dei controller di dominio, ottenere il nome host di una macchina virtuale Hyper-V, testare ed eseguire psexec.exe su un controller di dominio, testare e utilizzare RDP e altro ancora. Pochi giorni dopo, l’autore dell’attacco è riuscito a spostarsi lateralmente verso altre due macchine presenti nella rete. L'autore dell'attacco ha utilizzato psexec per aprire una nuova sessione su un controller di dominio utilizzando una password ottenuta dal dump di Mimikatz. Grazie a questo account, sono riusciti a passare ad altre macchine.
Impatto
Dopo essersi spostato su alcune altre macchine, l’autore dell’attacco ha utilizzato AnyDesk per scaricare un payload di ransomware denominato red25.exe. Il payload è un archivio autoestraente che estrae ed esegue il payload finale del ransomware. Il ransomware utilizzato in questa campagna è Mimic. Il ransomware Mimic si avvale di applicazioni legittime per individuare e localizzare i file da crittografare.
Una volta completato il processo di crittografia, il ransomware invia alla vittima la notifica relativa alla crittografia e al pagamento. Il ransomware è stato infine eseguito manualmente dagli autori dell’attacco, prima sul server MS SQL , poi su un controller di dominio e infine su altri host appartenenti al dominio.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La pratica di prendere di mira i server MS SQL con un livello di sicurezza insufficiente non sembra destinata a scomparire a breve, soprattutto perché continua a rivelarsi redditizia per gli autori delle minacce.
A parte questo, tale autore dell’attacco fa ampio ricorso a AnyDesk in diverse fasi dell’attacco. Ciò evidenzia quanto stia diventando comune per gli autori delle minacce abusare di strumenti legittimi nelle loro operazioni e, di conseguenza, quanto sia importante per i responsabili della sicurezza effettuare un monitoraggio.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su “”.
