Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza Astaroth, un trojan bancario avanzato che prende di mira gli utenti del Sud America. Il nostro team fornisce inoltre un aggiornamento su TA585, un sofisticato attore malintenzionato che controlla l’intera catena di attacco e impiega frequentemente il malware MonsterV2 . Infine, analizziamo in che modo gli autori delle minacce sfruttano l’immagine affidabile del marchio “ Microsoft” in truffe sofisticate relative all’assistenza tecnica.
Il trojan Astaroth utilizza GitHub per ospitare le configurazioni del malware
McAfee sta fornendo ulteriori dettagli su Astaroth, un sofisticato trojan bancario che ruba le credenziali tramite keylogging quando gli utenti accedono a siti web bancari o dedicati alle criptovalute.
Ciò che rende questa variante particolarmente resistente è il suo utilizzo “ ” dei repository GitHub per ospitare le configurazioni del malware e aggirare i tradizionali interventi di disattivazione dei server di comando e controllo (C2).
L'e-mail di phishing di Astaroth
Questo attacco ha inizio con un’e-mail di phishing del tipo “ ” ( ) contenente un link che, se cliccato, avvia il download di un file ZIP. Secondo McAfee, le esche contenute in queste e-mail riguardano spesso link a DocuSign e curriculum.
Il file ZIP scaricato contiene un file LNK che a sua volta contiene un comando JavaScript offuscato. McAfee riferisce che ogni link è soggetto a restrizioni geografiche.
Il codice JavaScript scaricato provvederà a scaricare diversi file da un server selezionato in modo casuale. I file scaricati includono uno script compilato in AutoIt, un interprete AutoIt, un payload crittografato e una configurazione crittografata del malware. JavaScript eseguirà lo script AutoIt per caricare lo shellcode in memoria.
Analisi del carico utile
Astaroth è il carico utile di questa campagna. Il malware è scritto in Delphi e provoca l'arresto del sistema qualora ritenga di essere oggetto di analisi. Verificherà la presenza di diversi strumenti sul sistema, si assicurerà che le impostazioni regionali del sistema siano relative agli Stati Uniti e controllerà costantemente se vi siano browser aperti. Il malware intercetterà gli eventi della tastiera e registrerà i tasti digitati qualora rilevi l’apertura di un sito relativo a servizi bancari o alle criptovalute.
C2 Comunicazioni e infrastrutture
Le credenziali rubate vengono inviate al server C2 dell’autore dell’attacco tramite un protocollo binario personalizzato.
McAfee sottolinea che la configurazione viene aggiornata ogni due ore. Esegue tale aggiornamento “recuperando un file immagine dagli URL di aggiornamento della configurazione ed estraendo la configurazione nascosta dall’immagine”. Il file di configurazione è nascosto a causa del formato in cui è memorizzato. McAfee ha individuato diversi repository su GitHub che contenevano file immagine con lo stesso schema; tutti questi file sono stati nel frattempo rimossi.
Per garantire la persistenza, Astaroth crea un file LNK che verrà eseguito all’avvio e che lancerà lo script AutoIt per attivare il malware all’avvio del sistema.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori degli attacchi sfruttano sempre più spesso piattaforme affidabili per eludere il rilevamento. Questo specifico attore sta adottando misure aggiuntive per mimetizzare il proprio malware nel traffico normale, incorporando dati nelle immagini, rendendo così più difficile per gli esperti di sicurezza individuare eventuali anomalie.
Attualmente si tratta di un approccio molto personalizzato e mirato, che esclude specificatamente i sistemi con impostazioni locali relative agli Stati Uniti, sebbene le tecniche utilizzate siano applicabili a livello globale.
Il TA585 diffonde MonsterV2 malware nell’ambito di campagne di phishing
Proofpoint ha recentemente pubblicato uno studio intitolato “ ” su TA585, un sofisticato attore malintenzionato che controlla l’intera catena di attacco e impiega frequentemente il potente malware MonsterV2 per sottrarre credenziali, effettuare attività di sorveglianza e distribuire ulteriori payload.
Secondo Proofpoint, TA585 ricorre a esche ingannevoli, tecniche avanzate di ingegneria sociale e infrastrutture quali ClickFix e CoreSecThree per eludere il rilevamento e massimizzare l’impatto.
Dettagli della campagna
Il malware TA585 viene solitamente diffuso tramite siti web compromessi, che spesso mostrano alla vittima un CAPTCHA fasullo. Se la vittima esegue lo script copiato, il malware viene quindi scaricato.
Proofpoint ha inoltre osservato che i payload malevoli dell’autore dell’attacco venivano distribuiti tramite e-mail anziché tramite siti web con pagine CAPTCHA contraffatte. Tali e-mail erano principalmente notifiche provenienti dall’indirizzo GitHub , in cui l’autore del reato taggava gli utenti di GitHub in falsi avvisi di sicurezza. Anche altri ricercatori hanno osservato che l’autore diffonde malware tramite malvertising.
Altre minacce legate ai CAPTCHA
nelle notizieNegli ultimi mesi, le minacce legate ai CAPTCHA hanno continuato a evolversi, diventando sempre più sofisticate e integrate nelle campagne di phishing, diffusione di malware e furto di credenziali
.Di seguito sono riportate quattro segnalazioni degne di nota emerse dalla nostra recente ricerca:
1. Il ritorno di ClickFix: Scoprite un’analisi approfondita sul ritorno di ClickFix nelle campagne di minacce avanzate che sfruttano i CAPTCHA per garantire occultamento e persistenza.
2. La campagna ClickFix aggira i CAPTCHA: Scoprite in che modo gli autori degli attacchi stanno sfruttando le tecniche di aggiramento dei CAPTCHA in campagne sempre più sofisticate.
3. Pagine CAPTCHA fasulle in UNC5518 campagne: Scoprite come UNC5518 utilizzi CORNFLAKE.V3 con ClickFix per l’offuscamento.
4. CAPTCHA nelle operazioni di phishing occultate dall’intelligenza artificiale: Scoprite come il CAPTCHA venga utilizzato per mascherare operazioni di phishing e la diffusione di malware.
Informazioni su MonsterV2 malware
MonsterV2 funge sia da programma di furto che da programma di installazione, rilasciando spesso malware aggiuntivo come StealC. Anche altri soggetti stanno utilizzando il malware MonsterV2 . Proofpoint ha individuato per la prima volta MonsterV2 nell’ambito dell’operazione “ febbraio 2025 ”, quando lo ha rilevato in una campagna che utilizzava esche legate all’IRS.
Secondo Proofpoint, il malware è dotato di diverse funzionalità, tra cui la capacità di individuare ed estrarre dati di accesso, token, dati del browser, file, ecc. È inoltre in grado di registrare le immagini della webcam della vittima, visualizzare il desktop, dispone di funzionalità di clipper, scaricare ed eseguire ulteriori payload e molto altro ancora. Proofpoint ha inoltre rilevato che il malware evita di infettare i paesi della CSI. Il malware viene attivamente aggiornato e mantenuto.
All'avvio, il malware tenterà di elevare i propri privilegi e quindi creerà un mutex nel sistema. Successivamente, decifrerà e decomprimerà il proprio file di configurazione e si collegherà a un dominio per ottenere l’indirizzo IP e la posizione dei sistemi infetti, prima di collegarsi al proprio server C2 .
MonsterV2 e il crypter SonicCrypt
Proofpoint ha accertato che MonsterV2 malware vengono solitamente compressi utilizzando il crypter SonicCrypt. Il malware compresso da SonicCrypt contiene intenzionalmente una grande quantità di codice superfluo per rendere più difficile l'analisi. Prima di caricare il proprio payload, SonicCrypt eseguirà alcuni controlli anti-analisi, quindi lo scriverà in un file sul disco e lo eseguirà.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il gruppo TA585 evita i paesi della CSI e ricorre al geofencing durante la diffusione di malware, il che potrebbe indicare l’esistenza di alleanze regionali o un tentativo di eludere le forze dell’ordine locali.
Il controllo completo che l’autore dell’attacco esercita sulla propria infrastruttura di attacco, dalla distribuzione al payload, evidenzia un’interessante svolta, in quanto l’autore sta cercando di ridurre la propria dipendenza dai servizi di terze parti. Ciò si discosta dall’attuale tendenza degli attori a ricorrere a servizi di terze parti per passare inosservati.
Gli autori delle minacce sfruttano il logo dell’ Microsoft nelle truffe relative all’assistenza tecnica
Secondo Cofense, gli autori delle minacce stanno sfruttando la reputazione affidabile del marchio " Microsoft" per mettere in atto truffe sofisticate relative all’assistenza tecnica.
L'attacco ha inizio con un'e-mail che finge di contenere una richiesta di pagamento; essa reindirizza le vittime, tramite un CAPTCHA fasullo, a una pagina che blocca il browser, piena di falsi avvisi di sicurezza relativi a Microsoft , e induce gli utenti a chiamare un numero di assistenza fasullo. Una volta in linea, gli autori degli attacchi tentano di sottrarre credenziali o di installare strumenti di accesso remoto.
Questa truffa è simile ad altre attualmente in circolazione. Tuttavia, questa truffa combina tecniche di ingegneria sociale con falsi avvisi di sistema e sovrapposizioni dell’interfaccia utente, il che la rende più articolata e pericolosa.
Panoramica sull'attacco
L'e-mail di questa campagna utilizza le tipiche tattiche di truffa legate al guadagno economico e alle operazioni bancarie per attirare le vittime. Si presenta come un rimborso o un pagamento da parte di una società di noleggio auto e chiede al destinatario di confermare il proprio indirizzo e-mail per ricevere i fondi.
Se la vittima fa clic sul pulsante per confermare il proprio indirizzo e-mail, viene reindirizzata a una pagina CAPTCHA fasulla per completare la verifica. Dopo aver verificato che si tratti di un utente umano, la vittima viene reindirizzata nuovamente alla vera pagina di destinazione. È in questa pagina di destinazione che la campagna va oltre i tradizionali metodi di truffa.
Una volta sulla pagina di destinazione, la vittima vedrà comparire diversi pop-up che simulano di essere avvisi di sicurezza dell Microsoft . Il browser viene manipolato in modo da sembrare bloccato e l’utente non è più in grado di individuare né di controllare il proprio mouse. Questo blocco è un'illusione e può essere aggirato semplicemente tenendo premuto il tasto ESC.
L'attacco sfrutta la notorietà del marchio, del logo, della terminologia e dello stile delle notifiche di Microsoft per indurre la vittima a chiamare il numero di telefono fasullo dell'assistenza di Microsoft .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna simula un attacco ransomware “bloccando” il browser e costringendo le vittime a farsi prendere dal panico e a prendere decisioni affrettate. Utilizza inoltre il marchio " Microsoft " per sfruttare la fiducia che gli utenti hanno riposto in esso nel corso degli anni, insieme a un CAPTCHA fasullo per convincere ulteriormente l'utente che l'attività sia legittima.
Di conseguenza, questa campagna potrebbe rivelarsi più efficace rispetto a alle tradizionali truffe relative all’assistenza tecnica.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
