Sintesi CTI: AMOS, TAG-150, GPUGate

Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza una campagna di malware che utilizza software crackato per diffondere l’Atomic macOS Stealer (AMOS). Successivamente, il team esamina TAG-150, un attore malintenzionato in rapida evoluzione che sta distribuendo malware personalizzato nell’ambito di sofisticate operazioni di phishing e di accesso remoto. Infine, concludiamo con una panoramica sulla campagna di malware GPUGate che prende di mira le aziende del settore IT nell’Europa occidentale.

La campagna AMOS Stealer prende di mira macOS

Trend Micro ha recentemente analizzato , una campagna di malware che utilizza software pirata per distribuire AMOS ed esfiltrare dati sensibili degli utenti, tra cui credenziali, portafogli di criptovalute e file di sistema.

Secondo Trend Micro, gli autori degli attacchi utilizzano comandi ingannevoli del Terminale di macOS e domini a rotazione per aggirare le misure di sicurezza e mantenere la persistenza sui sistemi infetti.

Panoramica della campagna AMOS

In questa campagna, gli autori degli attacchi prendono di mira gli utenti di macOS con applicazioni contraffatte o “crackate”. Le vittime vengono indotte con l'inganno a scaricare un programma di installazione dell'applicazione desiderata, che a sua volta installa il malware AMOS.

In alcuni casi, agli utenti viene chiesto di copiare e incollare i comandi direttamente nel proprio terminale per attivare il malware. Trend Micro sottolinea come questi aggressori utilizzino URL e domini a rotazione, in modo che il dominio e il comando di download cambino ad ogni visita per eludere il rilevamento.

Catena di infezione e trasmissione di AMOS

L'autore dell'attacco ottiene l'accesso al sistema tramite il download di applicazioni contraffatte che, in ultima analisi, indirizzano la vittima alla pagina di destinazione di AMOS.
La vittima vedrà un'opzione “Scarica per macOS” oppure le istruzioni per eseguire un comando. In entrambi i casi, viene eseguito uno script di installazione dannoso.
Questo script scarica un file AppleScript e configura un LaunchDaemon in modo che lo script venga eseguito in modo continuo fino a quando l'utente non effettua l'accesso.
Quando l'utente effettua l'accesso, il file binario nascosto viene eseguito per garantire la persistenza. Questo script raccoglierà dati quali nome utente e password, dati del browser, dati del portachiavi e molto altro ancora, comprimendoli in un file ZIP e trasferendoli all’esterno.

[Discover : come la gestione moderna delle vulnerabilità trasforma il caos in controllo — scopra come proteggere la Sua organizzazione prima che le minacce si trasformino in problemi aziendali]

Approfondimenti tratti dall’MDR

Il team Managed Detection and Response (MDR) di Trend Micro ha osservato la sequenza di eventi, a partire da attività sospette a livello di processi, operazioni di furto di credenziali e esfiltrazione di dati. Ciò ha consentito di condurre un’indagine più approfondita.

Il primo avviso che hanno rilevato riguardava l’estrazione dei dati di accesso dai browser web, mediante la copia del file “ Chrome’s Login Data” ( SQLite ) in cui sono memorizzate le credenziali. Il secondo avviso riguardava uno script in grado di sottrarre dati, tra cui le credenziali di accesso e i file presenti nei browser più diffusi. In questo modo sono state raccolte anche le informazioni del profiler di sistema.

Accesso iniziale

Trend Micro ha accertato che AMOS è stato installato sul dispositivo tramite il download di un software pirata, poiché molti degli utenti colpiti avevano visitato più volte lo stesso sito che ospitava varie applicazioni software contraffatte destinate specificatamente a macOS.

Gli utenti coinvolti avevano cercato e scaricato “CleanMyMac” sui propri computer. Cliccando sul pulsante di download, gli utenti venivano reindirizzati alla pagina di destinazione di AMOS. Dopo aver cliccato, gli utenti venivano reindirizzati; la destinazione del reindirizzamento variava a ogni visita, così come l’ URL incorporato nel comando.

[Lo “Shadow IT” è ben più di un semplice fastidio e spesso apre la porta a minacce: scoprite come identificarlo e gestirlo prima che sfugga al controllo]

Come le vittime installano AMOS

Le vittime hanno due modi per installare AMOS. Il primo metodo consiste nel fare clic sul pulsante di download, il che consentirà di scaricare un file .dmg insieme alle istruzioni di installazione. L'altro metodo consiste nel chiedere alla vittima di copiare, incollare ed eseguire un comando dannoso.

Nel primo metodo, viene scaricato il file “ Installer_v.2,13.dmg” e il numero di versione cambia. Il file contiene istruzioni rivolte alla vittima affinché faccia clic con il tasto destro del mouse e lo apra. Trend Micro sottolinea che, in questo caso, Gatekeeper è intervenuto a causa della versione di macOS in esecuzione, bloccando il malware prima che potesse portare a termine la sua azione dannosa.
Il secondo metodo, denominato “ ”, che presenta una percentuale di successo maggiore, richiede alle vittime di eseguire direttamente un comando. Una volta eseguito questo comando, AMOS viene installato sull'host. Alla vittima viene quindi visualizzata una finestra delle “Preferenze di Sistema” in cui le viene chiesto di inserire ripetutamente la propria password fino a quando non viene inserita quella corretta. Uno script aggiuntivo verificherà quindi se il programma è in esecuzione in un ambiente virtualizzato e, in tal caso, terminerà l'esecuzione. Una volta effettuati tali controlli, il malware procederà all’esfiltrazione dei dati, garantirà la propria persistenza, nasconderà le finestre del terminale e manipolerà i file di sistema e le applicazioni.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

L'utilizzo di software pirata come vettore di diffusione ci ricorda che gli autori delle minacce spesso sfruttano la comodità, rendendo indispensabile per le organizzazioni monitorare e limitare l'accesso a repository di software non autorizzati.

Le ampie capacità di furto di dati del malware AMOS riflettono una tendenza in crescita nel campo dei malware mirati a macOS. Inoltre, l’utilizzo da parte degli autori degli attacchi di domini a rotazione e di script offuscati dimostra un elevato livello di agilità operativa, rendendo insufficiente il rilevamento tradizionale basato sulle firme ed evidenziando il valore del rilevamento delle minacce basato sul comportamento.

[Scoprite come una protezione avanzata contro l’ endpoint e possa stare al passo con le minacce in rapida evoluzione, avvalendosi di difese basate sul comportamento e guidate dall’intelligenza artificiale che si adattano in tempo reale]

TAG-150 diffonde il nuovo malware CastleRAT

Un recente rapporto di Recorded Future descrive in dettaglio TAG-150, un attore malintenzionato in rapida evoluzione. Questo attore ha sviluppato un'infrastruttura articolata su più livelli e una suite di malware personalizzati, tra cui il CastleRAT, recentemente scoperto, per condurre sofisticate operazioni di phishing e di accesso remoto.

Come spiega Record Future, le loro campagne si avvalgono di tattiche ingannevoli e di un’ampia gamma di strumenti per individuare le vittime, adattandosi al contempo in modo proattivo alla visibilità pubblica e alle misure difensive.

Chi è TAG-150?

Recorded Future utilizza il codice TAG-150 per indicare l’attore collegato allo “sviluppo e all’utilizzo delle famiglie di malware CastleLoader, CastleBot e, più recentemente, CastleRAT”.

Recorded Future monitora TAG-150 sin dal marzo 2025. Secondo la loro ricerca, molte delle infezioni hanno origine da attacchi del tipo “ ” in stile ClickFix o da repository falsi GitHub che si spacciano per applicazioni legittime. Si ritiene che il gruppo operi secondo un modello “malware-as-a-service” (MaaS) per distribuire una serie di payload di seconda fase.

Analisi dell'infrastruttura TAG-150

Recorded Future ha fornito dettagli sull’infrastruttura a più livelli dell’autore dell’attacco:

Livello 1: L'infrastruttura di Livello 1 comprende diversi server C2 destinati a diverse famiglie di malware, quali CastleLoader, CastleRAT e altre. Tali server sono gestiti tramite i server Tier 2 .
Livello 2: Il Livello 2 è costituito da server VPS che si ritiene fungano da “intermediari tra i server di Livello 1 rivolti alle vittime e l’infrastruttura del Livello 3 ”. È noto che l’autore dell’attacco acceda a questi server tramite RDP prima di connettersi ai server di primo livello. In molti casi, Recorded Future ha osservato che l’autore dell’attacco aggirava il Tier 2 e si connetteva ai server del Tier 1 dall’infrastruttura del Tier 3 .
Livello 3: Nel Livello 3, i ricercatori hanno individuato dei server VPS che utilizzavano tutti lo stesso certificato TLS , uno dei quali fungeva probabilmente da hub. Hanno inoltre individuato un indirizzo IP residenziale russo che ha comunicato con i server sia del Tier 1 che del Tier 2, il che, a loro avviso, potrebbe essere opera di un secondo operatore.
Livello 4: Il server principale del Livello 3 comunica con un potenziale server di backup nel Livello 4. La comunicazione è avvenuta tramite una “sessione UDP persistente da porta alta a porta alta, protrattasi per diverse settimane”.

[Scoprite come Tanium e ScreenMeet trasformano l’assistenza remota in un vantaggio sicuro e scalabile, proteggendo i vostri endpoint e ottimizzando al contempo i flussi di lavoro IT]

Le varianti in Python e C di CastleRAT

Il malware CastleRAT presenta sia una variante in Python che una in C. Entrambe le varianti utilizzano un protocollo binario personalizzato, interrogano un’API di geolocalizzazione, scaricano file eseguibili e offrono funzionalità di shell remota.

Secondo Recorded Future, la variante C del malware è dotata di un keylogger, di un clipper, di funzionalità per la cattura dello schermo, la manipolazione dei file, l’esecuzione di comandi shell e altro ancora.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

TAG-150’s L’agilità operativa è evidente nella rapida evoluzione del malware e nell’adattamento dell’infrastruttura, il che suggerisce che il gruppo disponga sia di risorse adeguate sia di competenze tecniche.

Il loro ricorso a un’infrastruttura a più livelli e a malware personalizzato come CastleRAT riflette un passaggio dagli strumenti standard a soluzioni su misura, il che potrebbe indicare che questo gruppo stia maturando.

GPUGate si rivolge alle aziende del settore IT dell’Europa occidentale

Secondo Arctic Wolf, la campagna malware GPUGate utilizza annunci pubblicitari su Google e link di commit su GitHub per indurre i professionisti IT a scaricare un programma di installazione per desktop GitHub infettato da un trojan, che si attiva esclusivamente su sistemi dotati di GPU reali, eludendo così il rilevamento tradizionale tramite sandbox.

L'analisi di Arctic Wolf rivela inoltre tecniche di evasione avanzate. Gli autori degli attacchi hanno una padronanza della lingua russa a livello madrelingua e stanno prendendo di mira l’Europa occidentale con un approccio altamente selettivo e discreto.

Scoprite in che modo le principali figure di spicco nel settore dell’IT e della sicurezza — molte delle quali provenienti da organizzazioni con sede nel Regno Unito — stanno allineando persone, processi e tecnologia per promuovere una trasformazione sicura e scalabile

Vettore di infezione iniziale di GPUGate

L'attacco ha inizio con una forma di malvertising, che utilizza un annuncio sponsorizzato " Google " nella parte superiore dei risultati di ricerca su Google , il quale appare come un sito legittimo dedicato a GitHub desktop.

L'attore ha creato un commit in un repository legittimo di GitHub e ha poi modificato il file README in modo che contenesse link di download dannosi. Arctic Wolf sottolinea che un malintenzionato potrebbe inserire l’hash dannoso nell’ URL e della pagina, in modo tale che venga visualizzata una pagina identica al repository originale, ma con il file README contenente i link dannosi.

La pagina mostra dati autentici poiché il commit è reale, rendendo più difficile per le vittime riconoscerla come dannosa. «L’unico indizio che la pagina sia una vista relativa a un singolo commit è un piccolo banner nella parte superiore che indica che il visitatore sta visualizzando un commit specifico, anziché il ramo predefinito del repository». L'autore dell'attacco fa un ulteriore passo avanti aggiungendo un'ancora al link, in modo che la vittima venga indirizzata alla parte inferiore della pagina di commit, dove si trova il contenuto dannoso.

I link di download dannosi reindirizzano la vittima dal sito GitHub a una pagina dannosa all’indirizzo gitpage[.]App.

Seconda fase: GitHubDesktopSetup-x64.exe

Il malware viene scaricato con il nome GitHubDesktopSetup-x64.exe. Il file è di grandi dimensioni per rispecchiare l'aspetto che avrebbe il vero programma di installazione di GitHub Desktop.

L'autore del malware ha inoltre modificato l'intestazione del malware per impedire l'estrazione dei file. Il file “ MSI ” contiene 171 file eseguibili, la maggior parte dei quali sono file innocui, inseriti per rendere più difficile l’analisi. Tuttavia, Arctic Wolf sottolinea che almeno uno di essi è dannoso.

Il malware effettuerà dei controlli per escludere i dispositivi che non soddisfano i requisiti hardware da esso stabiliti. Uno di questi controlli verifica la lunghezza del nome del dispositivo, poiché le macchine virtuali hanno spesso nomi più brevi o generici, mentre le GPU legittime ne hanno in genere di più lunghi.

Funzionalità di GPUGate

Arctic Wolf evidenzia alcune delle caratteristiche più rilevanti di GPUGate:

Per un'esecuzione invisibile, il comando ` PowerShell ` verrà eseguito con determinati parametri per nascondere le finestre all'utente e aggirare le politiche di esecuzione.
Per garantire la persistenza, crea un'attività pianificata che viene avviata al riavvio del sistema.
Per eludere i sistemi di difesa, esclude dalla scansione le posizioni in cui è archiviato il malware Defender, in modo che i suoi componenti dannosi non vengano individuati.
Per quanto riguarda il sito C2, , esso utilizza diversi domini e indirizzi IP ridondanti, in modo da poter continuare a funzionare anche qualora uno di essi venisse disattivato.

Il malware raccoglie ed esfiltra dati sensibili dai file system locali. Arctic Wolf sottolinea che GPUGate potrebbe essere in grado di distribuire ransomware e di eliminare i file di backup e le opzioni di ripristino del sistema.

Assumete il controllo della vostra strategia in materia di rischi IT e conformità: scaricate la guida definitiva per affrontare con sicurezza e chiarezza l’attuale panorama delle minacce in continua evoluzione

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

Richiedendo una GPU vera e propria per la decrittografia, GPUGate segna una svolta verso un malware in grado di adattarsi all’ambiente circostante, rendendo il sandboxing tradizionale e l’analisi automatizzata molto meno efficaci.
Questa campagna non prende di mira solo i sistemi dotati di GPU, ma anche gli utenti che potrebbero disporre di privilegi elevati. Ciò implica un certo livello di profilazione preliminare all’attacco, che potrebbe rientrare in una strategia d’attacco più ampia.

Nel corso della propria indagine, Arctic Wolf ha osservato che uno dei siti controllati dagli autori dell’attacco ospitava anche il software di furto di dati AMOS per macOS, denominato “ ” (). Il potenziale collegamento con AMOS accresce la gravità di questa minaccia.

Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.

Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .