Nella rassegna di questa settimana, CTI analizza un nuovo malware di tipo “ Linux ” denominato Auto-color, che prende di mira organizzazioni in tutto il Nord America e in Asia. Successivamente, CTI indaga su una campagna attualmente in corso che sfrutta una vulnerabilità del driver “ Windows ” per diffondere il malware RAT Gh0st . Infine, CTI analizza diverse campagne di spionaggio collegate a un attore malintenzionato noto come Lotus Blossom.
Il malware "Auto-color" Linux garantisce pieno accesso remoto
I ricercatori dell’ di Palo Alto (si apre in una nuova scheda) hanno individuato un nuovo malware di tipo “ Linux ” che i ricercatori hanno denominato Auto-color.
Il malware, che è stato rilevato mentre prendeva di mira organizzazioni in tutto il Nord America e in Asia, garantisce agli autori delle minacce pieno accesso remoto ai computer infetti.
In particolare, il malware utilizza nomi di file dall’aspetto innocuo, nasconde le proprie connessioni remote C2 e impiega un algoritmo di crittografia proprietario per eludere ulteriormente il rilevamento.
A chi si rivolge il malware “Auto-color Linux ”?
Palo Alto ha individuato per la prima volta un campione di questo malware all’indirizzo novembre 2024, mentre il campione più recente è stato rilevato all’indirizzo dicembre 2024. Palo Alto ha rilevato che questa famiglia di malware prende di mira università e uffici governativi.
I ricercatori non hanno ancora stabilito in che modo il malware raggiunga le proprie vittime. Tuttavia, Palo Alto ha stabilito che il file è stato progettato per essere eseguito esplicitamente dalla vittima dell’ e su computer Linux (si apre in una nuova scheda).
Come funziona il malware Auto-color?
Il malware utilizzerà un nome di file diverso per ciascun obiettivo su cui viene installato. Come già osservato, utilizza nomi di file dall’aspetto innocuo, quali “door” o “egg”. L’hash è diverso per ogni file poiché l’autore di Auto-color ha scelto di «compilare in modo statico il payload di configurazione C2 crittografato in ciascun campione di malware».
Quando il malware viene eseguito su un computer, verifica se il file eseguibile sia effettivamente Auto-color. Se il nome del file non è “Auto-color”, verrà eseguita la fase di installazione “per l’inserimento di una libreria evasiva situata all’interno dello stesso eseguibile”.
Il malware proseguirà la propria routine solo se dispone dei necessari privilegi di root e, in tal caso, installerà una libreria dannosa che imita la libreria di utilità C legittima.
Auto-color si copierà e si rinominerà in “/var/log/cross/auto-color” prima di installare l’implant della libreria e di scrivere il file della libreria dannosa come “ld.preload” in un file standard sui sistemi Linux .
Come sottolinea Palo Alto, le librerie presenti in “ld.preload” verranno caricate per prime, consentendo a una libreria dannosa caricata successivamente di sovrascrivere alcune di queste librerie fondamentali.
Prima della fase di esecuzione principale del malware, quest’ultimo deve decriptare il payload per determinare a quali server degli autori dell’attacco remoto debba connettersi. Per ottenere questo payload, il programma leggerà un file specifico oppure lo estrarrà dalla sezione .data di tale file qualora la prima opzione non abbia avuto esito positivo.
La crittografia del payload è una variante di un algoritmo di cifratura a flusso. Palo Alto ha analizzato il payload e ha riscontrato che era costituito da tre componenti principali:
- La dimensione del blocco crittografato
- Il testo cifrato
- La chiave stessa
Il payload finale, una volta decriptato, contiene i veri destinatari a cui il malware deve connettersi.
Una volta che il malware si sarà connesso all’autore della minaccia, avvierà un’ handshake e e attenderà l’esecuzione dei comandi. I payload presentano una struttura univoca associata a un comando API specifico, in base all’ID del comando.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'esempio più recente di "Auto-color" è stato osservato in dicembre 2024. Di conseguenza, non è chiaro se si tratti ancora di una minaccia attiva che è sfuggita ai controlli o se si sia effettivamente esaurita.
È interessante notare che questo malware utilizza un file diverso per ciascun bersaglio, con un nome e un hash diversi, il che rende il rilevamento basato esclusivamente su tali indicatori piuttosto inefficace. Si ricorda che affidarsi esclusivamente a questi indicatori non è sufficiente e che disporre di meccanismi di rilevamento specifici per determinate tattiche potrebbe rivelarsi più proficuo.
Gli autori delle minacce sfruttano Truesight.sys in una nuova campagna di malware
Check Point ha recentemente individuato (si apre in una nuova scheda) una campagna malware ancora in corso che sfrutta una vulnerabilità del driver Windows , Truesight.sys, per diffondere il malware Gh0st RAT.
La ricerca ha portato alla luce migliaia di campioni dannosi di prima fase che implementavano un modulo “ EDR” / “AV killer”.
Contesto e risultati principali
Check Point ha avviato la ricerca con l’obiettivo di individuare l’uso improprio di driver non noti per essere vulnerabili, il che, come potete immaginare, rappresenta una sfida ben più ardua rispetto all’individuazione di quelli noti per essere vulnerabili. La ricerca ha portato alla scoperta di una vasta campagna di malware tuttora in corso.
A prima vista, uno dei campioni sembrava rilasciare un driver noto per essere vulnerabile (si apre in una nuova scheda) denominato “Truesight.sys”. I ricercatori si sono resi conto che non si trattava semplicemente di un altro driver Truesight vulnerabile. Hanno riscontrato che i campioni rilasciavano la stessa versione del driver Truesight vulnerabile, ma gli hash erano diversi. Ciò indicava che l'autore dell'attacco aveva probabilmente modificato il driver quanto bastava per alterare l'hash del file, ma non abbastanza da modificare la firma digitale.
Ecco cosa hanno accertato i ricercatori:
- Tali soggetti utilizzano l’infrastruttura della regione cinese di un cloud pubblico. Tale infrastruttura ospita i payload e i C2 server.
- Si ritiene che circa il 75% delle vittime si trovi in Cina.
- I campioni che fungono da programmi di download sono stati rilevati mentre si camuffavano da applicazioni ben note e sono stati diffusi tramite , un sito di phishing (si apre in una nuova scheda).
Dettagli tecnici
Il campione della fase iniziale individuato per primo nell’ambito di questa campagna proviene dal sito giugno 2024, dove è stata sfruttata la versione vulnerabile del driver legacy originale di (si apre in una nuova scheda). Poco dopo, questi campioni della fase iniziale hanno iniziato a sfruttare le varianti del driver anziché il driver originale.
Check Point ha suddiviso l'infezione iniziale in tre fasi, ovvero:
- Scaricamento del secondo stadio e dei carichi utili crittografati
- Caricamento dei payload e download della terza fase e dei relativi payload crittografati
- Caricamento dei payload della fase tre e attivazione del modulo " EDR/AV killer" in memoria
Il processo si conclude infine con l’implementazione e l’esecuzione del Gh0st RAT.
Il rapporto di Check Point descrive in dettaglio il driver Truesight di vecchia generazione. Inoltre, tutti i campioni analizzati da Check Point hanno portato all’installazione di Gh0st RAT — in particolare, una variante nota come HiddenGh0st.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Dalle ricerche condotte da Check Point emerge chiaramente che gli autori delle minacce sfruttano sempre più spesso i driver vulnerabili. Sebbene la ricerca di istanze di driver notoriamente vulnerabili possa spesso risultare semplice, questo specifico attacco che coinvolge il driver Truesight avrebbe aggirato i sistemi di rilevamento basati, tra l’altro, su hash noti.
Come sottolinea Check Point, passare a un approccio che “blocchi i driver sulla base di attributi che vadano oltre i semplici hash […] è fondamentale per migliorare il rilevamento e la protezione”.
Lotus Blossom rappresenta una minaccia per numerosi settori
Cisco Talos ha individuato (si apre in una nuova scheda) diverse campagne di spionaggio che coinvolgono Lotus Blossom, un gruppo attivo almeno dal 2012.
I recenti attacchi, che diffondono la backdoor Sagerunex e altri strumenti di hacking, prendono di mira diversi settori, tra cui il settore manifatturiero (si apre in una nuova scheda), la pubblica amministrazione, le telecomunicazioni e i media. L'autore ha inoltre creato nuove varianti della propria backdoor caratteristica, che sfrutta i servizi cloud di terze parti per C2. Cisco Talos rileva che la recente campagna sembra aver ottenuto un notevole successo, prendendo di mira principalmente vittime nelle Filippine, in Vietnam, a Hong Kong e a Taiwan.
I ricercatori hanno inoltre individuato nuove varianti della backdoor Sagerunex di Lotus Blossom. Anziché avvalersi di server privati virtuali per il C2, queste nuove varianti utilizzano servizi cloud di terze parti, tra cui Dropbox, Twitter e Zimbra.
Quali strumenti vengono utilizzati nella catena di attacchi “Lotus Blossom”?
Cisco Talos ha rilevato che questo gruppo utilizza un’ampia gamma di strumenti, tra cui strumenti open source e altri, quali uno stealer di tipo “ Cookie ”, lo strumento di “ proxy ” denominato Venom, uno strumento per la modifica dei privilegi, uno strumento di archiviazione, uno strumento di inoltro delle porte e uno strumento RAR. Il rapporto fornisce ulteriori dettagli su ciascuno di questi strumenti.
È stato comunemente osservato che il gruppo utilizzava lo strumento Impacket per eseguire comandi da remoto. Dopo essersi introdotto con successo nella rete, l’autore dell’attacco procede attraverso diverse fasi, a partire dalla ricognizione. Successivamente, l’operatore verificherà che il dispositivo sia in grado di connettersi a Internet e, in caso contrario, utilizzerà diversi strumenti per collegare il dispositivo a sistemi accessibili via Internet. È stato inoltre osservato che l’attore ha installato la backdoor e diversi strumenti di hacking all’interno della sottocartella “public\pictures” prima di installare la backdoor Sagerunex.
Come si installa Sagerunex
Cisco Talos ha individuato diverse varianti della backdoor Sagerunex analizzando il codice del loader. Quando la backdoor viene eseguita, effettua una serie di controlli di verifica per assicurarsi di poter procedere. Ogni variante dispone di una propria logica di controllo temporale, che determina se debba essere eseguita immediatamente o se l'esecuzione debba essere posticipata. Una caratteristica comune a tutte le varianti identificate è la configurazione “ proxy ”.
Cisco Talos ha individuato diverse varianti, tra cui una versione Beta, versioni per Dropbox e Twitter e una versione per Zimbra. Il rapporto illustra in dettaglio le versioni Beta, Dropbox e Twitter .
Zimbra (si apre in una nuova scheda), la versione più recente, utilizza l’API di Zimbra per connettersi al servizio, che viene poi impiegato come canale C2 per la campagna. Questa versione utilizzerà l' URL, il nome utente e la password di Zimbra per ottenere il token di autenticazione appropriato. Potrà quindi utilizzare il token per sincronizzare cartelle e documenti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come molti altri attori, Lotus Blossom ha iniziato ad affidarsi maggiormente a servizi legittimi quali Dropbox, Twitter e Zimbra per eludere il rilevamento. Si tratta di una tendenza diffusa in cui gli autori di attacchi abusano intenzionalmente dei servizi (si apre in una nuova scheda) , in modo da mimetizzarsi con il normale traffico aziendale.
La cronologia delle diverse varianti di Sagerunex stilata da Cisco Talos indica che l’autore degli attacchi ha iniziato a sfruttare in modo improprio servizi legittimi nel 2018, prima del forte aumento registrato negli ultimi anni.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
