Nella rassegna di questa settimana, il team CTI di Tanium analizza come, secondo quanto riferito, i tecnici informatici nordcoreani stiano utilizzando deepfake in tempo reale per accedere alle reti delle organizzazioni. Successivamente, il team indaga su un broker di accesso iniziale (IAB) noto come ToyMaker. Infine, concludiamo con una panoramica su come diversi gruppi sostenuti da Stati stiano sfruttando la tattica di ingegneria sociale “ClickFix” (si apre in una nuova scheda) per diffondere malware.
Gli autori delle minacce utilizzano deepfake in tempo reale per ottenere l'accesso
Secondo un nuovo rapporto di Palo Alto intitolato “ ” (si apre in una nuova scheda), si ritiene che i professionisti IT nordcoreani stiano utilizzando la tecnologia deepfake in tempo reale per infiltrarsi nelle organizzazioni attraverso posizioni di lavoro da remoto (si apre in una nuova scheda).
Recentemente sono state pubblicate diverse notizie relative all’aumento del numero di candidati che utilizzano deepfake in tempo reale durante i colloqui di lavoro (si apre in una nuova scheda). Gli attori malintenzionati nordcoreani, in particolare, hanno «dimostrato costantemente un notevole interesse per le tecniche di manipolazione dell’identità».
Appena due anni fa, Palo Alto aveva riferito che alcuni soggetti nordcoreani stavano creando identità fittizie avvalendosi di dati personali sottratti. Questi esperti informatici nordcoreani hanno continuato a perfezionare le proprie tattiche, tecniche e procedure (TTP), integrando ora nella loro strategia la tecnologia deepfake in tempo reale. Ciò consente a un singolo operatore IT di presentarsi a un colloquio di lavoro per una determinata posizione utilizzando diverse identità create con la tecnica del deepfake, aiutandolo così a evitare di essere identificato.
Quanto è facile creare un'identità deepfake?
Un ricercatore di Palo Alto, privo di esperienza pregressa nell’elaborazione delle immagini e con conoscenze limitate in materia di deepfake, ha deciso di creare un’identità sintetica da utilizzare durante i colloqui di lavoro. Utilizzando un computer di cinque anni fa, il team ha creato un profilo in soli 70 minuti, mettendo in evidenza quanto sarebbe facile per gli autori di minacce di qualsiasi livello di competenza fare lo stesso.
A tal fine, l’individuo ha utilizzato singole immagini generate da un sito denominato thispersonnotexist[.]org. Il sito «consente l’utilizzo dei volti generati per scopi personali e commerciali, oltre a mettere a disposizione strumenti gratuiti per la creazione di deepfake».
Grazie a queste immagini, sono riusciti a creare diverse identità. Basterebbe semplicemente che questa persona cambiasse i propri abiti e l’immagine di sfondo per distinguere chiaramente i diversi personaggi.
Hanno riprovato, questa volta dedicando più tempo, utilizzando una GPU più potente e una risoluzione più elevata per lo stesso identico processo, ottenendo risultati ancora più convincenti.
Come individuare i deepfake video in tempo reale
Palo Alto ha evidenziato alcune lacune nei sistemi deepfake che gli esperti di sicurezza possono sfruttare per identificare identità false, tra cui:
- Movimenti rapidi della testa
- Si ha una "faccia mal costruita" quando una mano o un altro oggetto si sposta davanti ad essa
- Cambiamenti improvvisi nell'illuminazione
- Ritardi nei movimenti della bocca e nel linguaggio
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I ricercatori di Palo Alto hanno cercato di creare deepfake in tempo reale utilizzando esclusivamente strumenti facilmente reperibili e hardware a basso costo, al fine di dimostrare quanto sia facile per gli autori creare identità credibili. Il punto fondamentale è che creare identità false è sorprendentemente facile.
La costante evoluzione di questa minaccia, unita a continui miglioramenti nell’intelligenza artificiale (si apre in una nuova scheda) e nella tecnologia deepfake, rende gli attacchi estremamente difficili da Detect. Come sottolinea Palo Alto, una stretta collaborazione tra le risorse umane e il reparto sicurezza è fondamentale per individuare questa minaccia in continua evoluzione e proteggersi da essa.
È importante guardare i video realizzati da Palo Alto (si apre in una nuova scheda) riportati nel rapporto per comprendere appieno quanto possano essere convincenti questi deepfake.
ToyMaker IAB collabora con bande dedite alla doppia estorsione
Cisco Talos ha fornito ulteriori dettagli (si apre in una nuova scheda) su un broker di accesso iniziale (IAB) denominato ToyMaker. Questo attore, mosso da motivazioni finanziarie, prende di mira sistemi vulnerabili, installa una backdoor personalizzata denominata LAGTOY e tenta di sottrarre credenziali.
Cisco Talos ha osservato che ToyMaker ha ceduto tale accesso alla banda di autori del ransomware a doppia estorsione Cactus.
Come funziona ToyMaker?
Entro una settimana dalla compromissione iniziale, ToyMaker ha effettuato operazioni di ricognizione, seguite dal furto di credenziali e dall’installazione di una backdoor. A ciò è seguita una fase di stallo, prima che Cactus entrasse in scena, utilizzando le credenziali che ToyMaker aveva sottratto.
ToyMaker sfrutta spesso le vulnerabilità note per infiltrarsi in un’organizzazione e iniziare a svolgere attività di ricognizione. Dopo aver eseguito alcuni comandi di base per l'individuazione, l'autore dell'attacco avvierà un listener SSH. L’ endpoint e può quindi ricevere una connessione da un altro host infetto, creando un file binario denominato “sftp-server.exe”, ovvero il modulo server SFTP di OpenSSH. Questo eseguibile può quindi effettuare il download dell'eseguibile "Magnet RAM Capture".
Magnet RAM Capture è uno strumento forense gratuito spesso utilizzato per ottenere un dump di memoria dall'host. ToyMaker può quindi utilizzare tali informazioni per estrarre le credenziali. L'attore utilizzerà quindi il proprio implant personalizzato di tipo reverse shell, denominato LAGTOY, per garantire la persistenza nel sistema.
Che cos’è la backdoor LAGTOY?
LAGTOY è un semplice impianto utilizzato da ToyMaker ed è registrato anche con il nome “HOLERUN”.
La backdoor si connette periodicamente al C2, alla ricerca di comandi da eseguire sul dispositivo infetto. Contiene controlli anti-debugging ed è progettato per essere eseguito come servizio con il nome “WmiPrvSV”. L'indirizzo IP e la porta del malware, ovvero C2 , sono entrambi hardcoded. LAGTOY utilizza una logica basata sul tempo per la propria esecuzione, che si ritiene sia una caratteristica esclusiva di questa famiglia.
Cactus e ToyMaker
Dopo aver ottenuto l'accesso da ToyMaker, Cactus ha iniziato a eseguire scansioni di rete, a individuare gli endpoint e a cancellare le proprie tracce. Le credenziali ottenute da ToyMaker hanno consentito a Cactus di accedere a diversi sistemi e di sottrarre file.
L’autore dell’attacco ha inoltre utilizzato diversi strumenti di amministrazione remota per ottenere l’accesso, ha creato shell inverse tramite OpenSSH, ha rimosso l’accesso al file della chiave privata SSH, ha creato nuovi account utente, ha eseguito comandi per disabilitare gli strumenti di sicurezza e ha utilizzato binari iniettati tramite Metasploit.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli attori IAB possono talvolta passare inosservati poiché non mettono in atto complesse catene di attacchi. L'analisi e la cronologia fornite da Cisco Talos evidenziano l'importante ruolo che gli IAB svolgono nel panorama delle minacce, facilitando ad altri attori la realizzazione dei propri piani.
Questo esempio serve a ricordare quanto possano essere importanti le precauzioni relative all’ , quali l’applicazione delle patch per le vulnerabilità (si apre in una nuova scheda) e la rotazione delle credenziali compromesse.
Gli hacker sostenuti dallo Stato utilizzano la tecnica di ingegneria sociale denominata “ClickFix”
Secondo Proofpoint (si apre in una nuova scheda), diversi gruppi sostenuti da Stati utilizzano ora la tattica di ingegneria sociale denominata “ClickFix” per diffondere malware. Questa tecnica sta “sostituendo le fasi di installazione ed esecuzione nelle catene di infezione esistenti” per questi attori.
Altri recenti attacchi ClickFix di cui è bene essere a conoscenza:
- Silk Typhoon, false richieste di riscatto e ClickFix (si apre in una nuova scheda)
- Vortax diffonde il malware Infostealer, mentre il malware “ Linux ” utilizza le emoji per eseguire comandi (si apre in una nuova scheda)
Proofpoint ha rilevato che diversi attori statali provenienti dalla Corea del Nord, dall’Iran e dalla Russia hanno utilizzato questa tecnica tra la fine del 2024 e l’inizio del 2025.
TA427 , noto anche come Kimsuky (Corea del Nord)
Questo attore malintenzionato nordcoreano, noto anche come Kimsuky, è stato individuato da Proofpoint a gennaio e febbraio 2025 mentre prendeva di mira organizzazioni operanti nel settore dei think tank. Tali attacchi hanno fatto ricorso a una catena di infezione basata sulla tecnica ClickFix, che il gruppo non aveva mai utilizzato in precedenza.
Il gruppo ha dato il via agli attacchi inviando e-mail alle vittime e avviando una conversazione per conquistare la loro fiducia. L’attore ha quindi indirizzato la vittima verso un sito in cui le è stato chiesto di copiare, incollare ed eseguire un comando PowerShell che, presumibilmente, avrebbe registrato il suo dispositivo come parte dell’esca. Proofpoint rileva che una catena non è riuscita a ricevere payload aggiuntivi, mentre un altro caso simile dell’attacco ha utilizzato una catena a più fasi per eseguire diversi script, dando luogo a un’ : QuasarRAT (si apre in una nuova scheda).
TA450 , noto anche come MuddyWater (Iran)
Nel rapporto “ novembre 2024”, Proofpoint ha osservato che questo attore, noto anche come MuddyWater (si apre in una nuova scheda), utilizzava ClickFix.
L'attacco " " è iniziato con un'e-mail di phishing (si apre in una nuova scheda) che fingeva di essere un aggiornamento di sicurezza proveniente da Microsoft. Ciò ha infine indotto la vittima a eseguire il file PowerShell con privilegi di amministratore, copiando, incollando ed eseguendo un comando contenuto nell’e-mail.
TA422 e UNK_RemoteRogue (Russia)
In “ dicembre 2024”, Proofpoint ha rilevato che un attore russo inviava messaggi privi di oggetto a due organizzazioni, con l’intento probabile di sfruttare come infrastruttura dei server Zimbra compromessi.
Tali e-mail contenevano un link che simulava il sito Microsoft Office e invitavano il destinatario a visitare il sito. Il sito ha inoltre simulato un documento Word e ha invitato la vittima a copiare ed eseguire il codice in esso contenuto. Questo sito è andato oltre, inserendo un link a YouTube che mostrava come eseguire l' PowerShell.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La tecnica ClickFix è ormai molto diffusa tra i cybercriminali, il che rende particolarmente degna di nota la scoperta da parte di Proofpoint del suo impiego da parte di attori statali.
Resta da vedere se un numero maggiore di attori statali inizierà ad adottare questa tecnica, ma il fatto che tali attori l’abbiano utilizzata una sola volta potrebbe indicare una sorta di fase di sperimentazione.
Vale inoltre la pena sottolineare che la tecnica ClickFix sta diventando sempre più diffusa con il passare dei mesi, rendendo importante informare gli utenti su alcuni dei segnali rivelatori.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
