Il primo argomento trattato nella rassegna settimanale dedicata alla Cyber Threat Intelligence (CTI) è un’analisi di DarkCloud, un malware per il furto di informazioni in rapida evoluzione che utilizza tecniche avanzate di elusione e un sistema di esfiltrazione multicanale per prendere di mira dati sensibili, tra cui credenziali, portafogli di criptovalute e file degli utenti.
Successivamente, il team CTI di Tanium esamina la nuova alleanza tra LAPSUS$, ShinyHunters e Scattered Spider, soprannominata la “Trinità del Caos”.
Infine, forniamo una panoramica delle recenti modifiche e degli aggiornamenti apportati al malware WARMCOOKIE.
Il malware DarkCloud prende di mira i dati sensibili
Un recente articolo pubblicato su eSentire, intitolato “ ”, svela nuove funzionalità del malware infostealer DarkCloud, tra cui il rilevamento delle sandbox, la crittografia VB6-based e la diffusione tramite phishing.
Secondo eSentire, DarkCloud “prende di mira le password dei browser, i dati delle carte di credito, i cookie, le sequenze di tasti, le credenziali FTP, il contenuto degli appunti, i client di posta elettronica, i file e i portafogli di criptovalute”. L'analisi esorta le organizzazioni a rafforzare la sicurezza della posta elettronica e endpoint le difese.
La campagna di phishing di DarkCloud
Nel mese di settembre, l’unità TRU ( Threat Response ) di eSentire ha individuato una campagna di spear phishing rivolta a un cliente del settore manifatturiero, volta a diffondere DarkCloud. Queste e-mail di phishing presentano un oggetto relativo a operazioni bancarie, un testo che riproduce quello di un messaggio legittimo proveniente da un istituto finanziario e un allegato in formato ZIP che dovrebbe contenere un messaggio relativo a un ordine inviato dal partner del destinatario.
Modalità di distribuzione di DarkCloud
In precedenza, DarkCloud veniva distribuito tramite un forum di hacker ormai inattivo. Da allora, eSentire ha osservato che viene promosso tramite Telegram e un sito web ingannevole gestito dagli autori del malware, che imita un fornitore di software legittimo.
Questo sito web contiene un elenco delle applicazioni prese di mira, tra cui browser web, client di posta elettronica e strumenti VPN. Descrive inoltre molte delle funzionalità del malware, quali uno “smart logger”, un pannello web, un “file grabber” e altro ancora.
Analisi di DarkCloud
Nel rapporto, eSentire fornisce i seguenti dettagli sul malware DarkCloud:
- Il generatore di malware DarkCloud richiede ai propri utenti/operatori di installare l’IDE VB6 per «compilare lo stub del malware a partire dal codice sorgente VB6 proveniente da una fonte locale». Ciò comporta una vulnerabilità che aumenta il rischio di diffusione di versioni non autorizzate.
- L'ultima versione, la v4,2, raccoglie informazioni di sistema tramite query WMI e utilizza un oggetto " VBScript " per associare i numeri delle carte di credito rubate al tipo di carta corrispondente. Inoltre, estrae i contatti dai computer delle vittime per Thunderbird e altri client di posta elettronica.
- Per eludere il rilevamento, il malware confronta i processi in esecuzione con una lista nera di sottostringhe e si chiude qualora venga identificata una sandbox. Inoltre, il processo si interrompe qualora il numero di processi in esecuzione sia inferiore a 50 e verifica la presenza di file specifici che indicano un ambiente virtuale. Per garantire la persistenza, DarkCloud utilizza la chiave di registro RunOnce.
- DarkCloud raccoglie i file presenti in un elenco definito di percorsi ed estensioni. Prende di mira anche i portafogli di criptovalute. eSentire ha scoperto che DarkCloud supporta metodi di esfiltrazione quali SMTP, Telegram, FTP e Web Panel.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'utilizzo del codice VB6 da parte di DarkCloud per la crittografia e l'esecuzione rappresenta un ingegnoso richiamo al passato. Sfrutta tecnologie obsolete per eludere i moderni sistemi di rilevamento, evidenziando la necessità per i responsabili della sicurezza di mantenere la visibilità sia sui vettori di minaccia tradizionali che su quelli più recenti.
La strategia di esfiltrazione multicanale del malware evidenzia come gli autori degli attacchi stiano diversificando i propri metodi di furto di dati per eludere i tradizionali strumenti di monitoraggio della rete.
eSentire ha creato due strumenti per aiutare i ricercatori nel campo della sicurezza, tra cui uno che estrae la configurazione del malware DarkCloud e uno “script basato su Python per IDA che decripta le stringhe crittografate e le commentano in IDA Pro”.
La nuova alleanza “Trinity of Chaos” prende di mira i settori principali
Secondo un rapporto di Resecurity, un’alleanza di recente costituzione tra LAPSUS$, ShinyHunters e Scattered Spider sta alimentando un’ondata di crimini informatici a livello globale che prende di mira settori chiave quali le compagnie aeree, la vendita al dettaglio e le telecomunicazioni.
Questa collaborazione segna una svolta verso un ecosistema della criminalità informatica fluido e guidato dai giovani, che combina ransomware, furto di dati e manipolazione psicologica. È stato osservato che il gruppo ricorre sia a tecniche avanzate di ingegneria sociale sia a tattiche di estorsione.
Come collaborano LAPSUS$, Scattered Spider e ShinyHunters
LAPSUS$, Scattered Spider e ShinyHunters sono tre gruppi ben noti che hanno ottenuto, ciascuno a sé stante, un successo individuale. Ciascun gruppo si è formato autonomamente, ma i ricercatori stanno ora individuando collegamenti, sovrapposizioni e forme di collaborazione tra di essi.
In “ agosto 2025” è stato individuato un canale Telegram che univa l’identità visiva e l’appartenenza dei tre gruppi. Questo canale è stato utilizzato per alimentare voci su fughe di dati e promuovere una nuova offerta di ransomware as a service (RaaS). ShinyHunters aveva già confermato che Scattered Spider aveva concesso loro l’accesso iniziale a vari obiettivi; si ritiene inoltre che anche LAPSUS$ faccia parte di questa nuova alleanza.
Questi tre gruppi sono collegati all’ecosistema dei criminali informatici di lingua inglese denominato “The Com”, ovvero una “rete vagamente organizzata che opera più come un movimento giovanile dedito alla criminalità informatica, comprendente una gamma ampia e in costante evoluzione di attori, costituiti principalmente da adolescenti e 20somethings”.
Sovrapposizioni tra metodi e appartenenza
Questi gruppi sono noti per il loro uso avanzato e delle tecniche di ingegneria sociale, in particolare il vishing, il phishing e l’usurpazione dell’identità del supporto IT.
Inoltre, condividono tecniche comuni relative allo swap della SIM, al bypass dell’autenticazione a più fattori (MFA), al furto di dati e alla selezione dei bersagli. Di recente, tali gruppi hanno preso di mira congiuntamente organizzazioni operanti in settori specifici.
Resecurity ritiene che queste tattiche, tecniche e procedure (TTP) sovrapposte, nonché tali collegamenti, indichino un certo livello di sovrapposizione operativa o di condivisione delle risorse.
Attività recenti
L'ultima azione compiuta da questo trio è l'attacco contro Jaguar Land Rover. Tra le attività aggiuntive più recenti figurano attacchi contro compagnie aeree, rivenditori, operatori di telecomunicazioni e forze dell’ordine.
ShinyHunters e i suoi collaboratori sono probabilmente responsabili anche degli attacchi recenti di contro Salesforce. Tali attacchi consistevano nello sfruttamento dei token OAuth di per accedere agli ambienti Salesforce. A seguito degli attacchi, gli autori hanno diffuso diversi dump di dati, confermando la violazione di numerose aziende globali incluse nella classifica Fortune 100 .
Il rapporto di Resecurity contiene ulteriori dettagli su ciascun attacco all’indirizzo ; per chi desiderasse approfondire l’argomento, è disponibile il link .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La convergenza di LAPSUS$, ShinyHunters e Scattered Spider segna una pericolosa evoluzione nel campo della criminalità informatica, in cui i confini tradizionali tra i gruppi si stanno dissolvendo a favore di ecosistemi agili e collaborativi, in grado di estendere rapidamente gli attacchi a diversi settori.
La preferenza dell’alleanza per piattaforme cloud quali Salesforce, e Snowflake evidenzia la crescente minaccia rappresentata da attori che prendono di mira la struttura portante dell’infrastruttura aziendale, anziché limitarsi ai soli endpoint o alle reti. Il loro ricorso a tattiche di estorsione basate sulla gamification e di coinvolgimento dell’opinione pubblica riflette inoltre una svolta verso la guerra psicologica, che sfrutta i social media e il sentimento pubblico per esercitare pressione sulle vittime e amplificarne l’impatto.
Le recenti attività sui forum dedicati alla criminalità informatica suggeriscono che il trio abbia annunciato la cessazione delle proprie operazioni, sostenendo di aver raggiunto i propri obiettivi. Tuttavia, un account sul forum RAMP, che si ritiene sia gestito da ShinyHunters, ha recentemente rivendicato la responsabilità di un nuovo attacco, il che fa ritenere che tale affermazione sia falsa.
Il malware WARMCOOKIE continua a evolversi
Elastic Security Labs sta monitorando le modifiche e gli aggiornamenti in corso relativi al malware WARMCOOKIE. Hanno accertato che la backdoor è attualmente in fase di sviluppo e distribuzione. Una delle loro principali scoperte riguarda un certificato predefinito che sembra essere utilizzato dal backend del malware, il che probabilmente consente di tracciare nuovi C2 server e infrastrutture.
Il malware WARMCOOKIE è apparso per la prima volta a metà del 2024. Il malware viene diffuso tramite campagne di phishing, spesso incentrate sul tema del reclutamento e contenenti false offerte di lavoro. Sin dalla sua comparsa iniziale, Elastic Security Labs ha osservato alcune evoluzioni nel malware, che ha illustrato nel rapporto.
Nuovi gestori
L'ultima variante del malware WARMCOOKIE contiene quattro nuovi handler che consentono all'operatore di avviare rapidamente file eseguibili, DLL e script.
Elastic rileva che la maggior parte delle build recenti utilizza la funzione di esecuzione DLL/EXE , mentre l’uso di PowerShell è molto meno frequente. A prescindere da quale si scelga, entrambe utilizzano la stessa funzione e passano gli argomenti per ciascun tipo di file. L'handler può quindi creare una cartella in una directory temporanea e scrivere il contenuto del file in un file all'interno di una cartella situata in quella nuova directory.
La raccolta di stringhe di WARMCOOKIE
Elastic Security Labs ha inoltre rilevato che il malware aggiornato utilizza un database di stringhe che sfrutta nomi di aziende legittime sia per i percorsi delle cartelle che per i nomi delle attività pianificate. Questa tecnica di elusione dei sistemi di difesa consente al malware di spostarsi in directory dall’aspetto più legittimo.
A differenza delle varianti precedenti, in cui i percorsi erano fissi, le varianti più recenti dispongono di un elenco di società da utilizzare come potenziali percorsi delle cartelle. Elastic ha stabilito che la banca dati di stringhe “proviene da un sito web utilizzato per valutare e individuare aziende affidabili nel settore IT e del software”.
Altre modifiche apportate a WARMCOOKIE
La nuova variante modifica il parametro della riga di comando da /p a /u per determinare se sia necessario creare un'attività. Inoltre, questa variante utilizza due mutex anziché uno solo e presenta un’ottimizzazione del codice migliorata.
Il malware WARMCOOKIE ora include un campo "ID campagna" che può essere utilizzato dagli operatori per facilitare il monitoraggio delle campagne.
Panoramica sull'infrastruttura
Elastic ha estratto l’infrastruttura associata dalle configurazioni individuate, individuando un certificato SSL che spiccava in modo particolare. Si ritiene che questo certificato sia un certificato predefinito utilizzato dal back-end del malware.
Sebbene la data di validità del certificato sembri essere scaduta, sia le infrastrutture nuove che quelle riutilizzate continuano a essere inizializzate utilizzando tale certificato. Pertanto, sebbene non si tratti di una nuova infrastruttura in senso stretto, si tratta di una “riconfigurazione dei reindirizzatori volta a dare nuova vita all’infrastruttura esistente”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Le famiglie di malware si evolvono spesso, anche quando non ricevono una notevole attenzione da parte dei media. WARMCOOKIE ne è un eccellente esempio.
L’assegnazione di nomi di attività pianificate e percorsi di cartelle che richiamano organizzazioni legittime non è una novità, ma aumenta le probabilità che il malware passi inosservato e può rendere più difficile per gli esperti di sicurezza identificarlo come dannoso.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
