Arrotondamento CTI: DragonForce, Qilin, Water Saci

Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium esamina DragonForce, un gruppo ransomware-as-a-service (RaaS) che è diventato altamente adattabile e pericoloso. Esploriamo anche l’evoluzione di Qilin in una delle minacce ransomware globali più prolifiche. Infine, esaminiamo una campagna attiva chiamata Water Saci, che si rivolge agli utenti di WhatsApp.

DragonForce espande la sua influenza

L'ultimo Ransomware Spotlight di Trend Micro si tuffa in DragonForce: un gruppo RaaS osservato per la prima volta nel 2023 e ora considerato uno dei player più aggressivi dell'ecosistema. Il gruppo si è evoluto rapidamente, passando da attacchi trapelati basati sui costruttori a un modello completamente basato sugli affiliati.

Tracciato come Water Tambanakua, DragonForce impiega tecniche di evasione avanzate come Bring Your Own Vulnerable Driver (BYOVD) e supporta attacchi multipiattaforma su Windows, Linux, ESXi e NAS. Sfrutta i payload multivarianti, riutilizzando i costruttori LockBit e Conti trapelati invece di affidarsi a una singola famiglia di ransomware. Gli affiliati ricevono fino al 80% dei proventi del riscatto, insieme a strumenti per la gestione e la personalizzazione degli attacchi.

Nel 2025, DragonForce è stato rinominato come un cartello ransomware, incoraggiando gli affiliati a costruire i propri marchi utilizzando risorse condivise. Nel giugno 2025, il gruppo era collegato a violazioni di alto profilo nel Regno Unito. Ad agosto, ha introdotto un servizio di analisi dei dati che crea materiali di estorsione personalizzati, come script di chiamata e rapporti pseudo-legali, rivolti alle organizzazioni con un fatturato annuo di almeno 15 milioni di dollari.

Tendenze e obiettivi chiave

Trend Micro ha stabilito che DragonForce ha avuto un impatto sugli Stati Uniti più di qualsiasi altro paese. I settori più mirati includono la produzione, l'edilizia e l'IT. Le vittime vanno dalle piccole imprese alle grandi imprese, riflettendo l’approccio opportunistico del gruppo.

Tempistica di DragonForce

• 2023: attacchi iniziali utilizzando il costruttore LockBit 3,0 trapelato
• Mid-2024: lancio del programma di affiliazione; rilascio del proprio ransomware, seguito dalla variante Linux
• 2025 giugno: attacchi al dettaglio nel Regno Unito
• 2025 marzo: passaggio al modello del cartello
• 2025 agosto: Lancio del servizio di analisi dei dati per gli affiliati

Catena di infezione e dettagli tecnici

DragonForce sfrutta le vulnerabilità note (ad es., Ivanti Connect Secure, Log4Shell) per l’accesso iniziale, spesso tramite Scattered Spider come broker di accesso iniziale. Il ransomware può crittografare unità fisse, rimovibili e di rete e viene fornito con un elenco di stringhe ed estensioni che eviterà durante la crittografia.

Utilizza anche account di amministrazione compromessi per la persistenza, la rappresentazione dei token per l’escalation dei privilegi e strumenti come PsExec, WMI e SimpleHelp RMM per il movimento laterale.

[Stai al passo con le minacce emergenti: guarda come le nuove dashboard SMB e RMM di Tanium Guardian offrono visibilità sui rischi e azioni correttive in tempo reale]

DragonForce è noto per disabilitare gli strumenti di sicurezza e i servizi per l'evasione della difesa, tra le altre cose, e per distribuire strumenti di dumping delle credenziali come Mimikatz e LaZagne.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

Il passaggio del gruppo dall’utilizzo di costruttori trapelati alla creazione di una propria struttura simile al ransomware e a un cartello mostra una tendenza verso la professionalizzazione nell’ecosistema ransomware, rendendo più difficile l’attribuzione e l’interruzione.

DragonForce è probabilmente in grado di mantenere il suo successo e la sua importanza grazie ai suoi generosi pagamenti di affiliazione e all'uso di tecniche come BYOVD, che sono tipicamente osservate nelle campagne APT più avanzate.

Qilin emerge come una delle principali minacce ransomware a livello globale

Cisco Talos sta condividendo i dettagli della trasformazione del gruppo ransomware Qilin in una delle minacce ransomware più prolifiche a livello globale, rivelando più di 40 vittime al mese nella seconda metà di 2025. Il gruppo opera secondo un modello RaaS e impiega la doppia estorsione, combinando la crittografia dei file con le perdite pubbliche di dati.

Qilin, precedentemente noto come Agenda e attivo dal luglio 2022, si rivolge a un’ampia gamma di Paesi, concentrandosi fortemente su Stati Uniti, Canada e Regno Unito, con un impatto aggiuntivo in Francia e Germania. Qilin si rivolge anche a molteplici settori, in particolare quello manifatturiero, seguito dai servizi professionali e scientifici e dal commercio all'ingrosso.

A ottobre, Qilin, DragonForce e LockBit hanno annunciato un’alleanza strategica. Secondo ReliaQuest, la collaborazione consentirà ai gruppi di condividere tecniche, risorse e infrastrutture, rafforzando le capacità di ciascun gruppo.

Spiegazione di tattiche, tecniche e procedure (TTP) di Qilin

• Accesso iniziale: Cisco Talos ha valutato con moderata certezza che gli aggressori probabilmente hanno abusato delle credenziali trapelate per ottenere l'accesso VPN e possibilmente hanno utilizzato le modifiche alla policy di gruppo AD per abilitare RDP.
  [Non lasciare che le credenziali compromesse diventino una porta aperta: scopri come proteggere Active Directory e fermare gli aggressori prima che si spostino lateralmente]
  In un caso, Cisco Talos ha identificato diversi tentativi di autenticazione NTLM contro la VPN solo due settimane dopo che le credenziali sono state esposte sul dark web. L’autenticazione a più fattori (MFA) non è stata configurata sulla VPN.
• Ricognizione e rilevamento: il gruppo è stato visto eseguire nltest.exe e net.exe per enumerare i controller di dominio.
  Cisco Talos ha anche osservato l'attore che valuta i livelli di privilegi di vari utenti sfruttando il comando whoami , insieme all'utilizzo di tasklist e netscan per il rilevamento di processi e reti.
• Accesso alle credenziali ed esfiltrazione: negli incidenti analizzati da Cisco Talos, era presente una cartella protetta da password contenente strumenti che potevano essere utilizzati per il furto di credenziali. Cisco Talos non ha potuto ispezionare tutti i file in questa cartella, ma ritiene che "suggerisca l'uso di mimikatz, diverse utility di recupero password pubblicate da NirSoft e file di script personalizzati".
  Il registro è stato modificato abilitando WDigest UseLogonCredential, che ha permesso di archiviare le credenziali in chiaro in memoria. I dati sono stati successivamente consolidati in un singolo file di testo ed esfiltrati in un server SMTP controllato dall'aggressore.
• Artefatti di esfiltrazione: gli aggressori hanno impacchettato i dati rubati utilizzando WinRAR e, durante l’ispezione manuale, hanno sfruttato strumenti open source come mspaint.exe, notepad.exe e iexplore.exe per ispezionare i file e cercare informazioni importanti.
  Più di recente, il gruppo ha utilizzato uno strumento open source chiamato Cyberduck per consentire il trasferimento di file ai server cloud, spesso a Backblaze, utilizzando impostazioni di caricamento multipart per facilitare l’esfiltrazione su larga scala e fondere l’attività nel traffico legittimo.
• Escalation dei privilegi e spostamento laterale: le credenziali rubate hanno consentito l’accesso a più IP e condivisioni di rete. Gli aggressori hanno modificato le impostazioni del firewall e RDP, aggiunto account al gruppo di amministratori locali e creato condivisioni di rete che garantiscono il pieno controllo. Gli strumenti RMM osservati includono AnyDesk, ScreenConnect e QuickAssist.

[Gli hacker non hanno bisogno di malware quando possono ingannare il tuo help desk: impara come fermare l'ingegneria sociale prima che apra la porta ai tuoi dati]

• Evasione della difesa: l’attore ha utilizzato un PowerShell offuscato per disabilitare la convalida dei certificati AMSI e TLS e abilitare l’amministrazione limitata. L’attore ha anche tentato di disabilitare EDR utilizzando strumenti come Dark-kill e HRSword.
• Impact e inibire il ripristino: Cisco Talos ha notato che strumenti di accesso remoto come il caricatore Cobalt Strike e SystemBC sono stati implementati prima dell’esecuzione del ransomware.
• Ransomware Qilin: Cisco Talos ha rilevato anche la variante Qilin.B, notevole per la sua strategia di doppio crittografia e il targeting avanzato della virtualizzazione. Questa variante supporta la distribuzione di due encryptor:
  1. encryptor_1.exe, che si diffonde tramite PsExec su più host 2. encryptor_2.exe, che viene eseguito da un singolo sistema per crittografare numerose condivisioni di rete

La variante utilizza anche i comandi PowerShell per enumerare i nomi host AD e installare moduli RSAT, indirizza in modo aggressivo gli ambienti ESXi modificando le password di root e disabilitando le protezioni dei cluster e modificando le impostazioni di collegamento simbolico tramite fsutil per un accesso ai file più ampio.

L'attore inizierà quindi a muoversi lateralmente, apportare modifiche al Volume Shadow Copy Service, eliminare tutte le copie shadow e rilasciare la nota di riscatto in ogni cartella crittografata. Ogni nota di riscatto include un URL Tor per la negoziazione e un ID vittima univoco incorporato nell'estensione del file, consentendo l'accesso a un portale dedicato per il pagamento e le istruzioni.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

L’uso di doppi encryptor, esfiltrazione basata su cloud e strumenti di accesso remoto come AnyDesk e ScreenConnect da parte di Qilin riflette un’architettura di attacco matura e modulare. Inoltre, la loro capacità di ruotare su ambienti come Windows, ESXi e il cloud dimostra una profonda comprensione dell'infrastruttura aziendale.

Detto questo, non sorprende vedere Qilin emergere come un gruppo RaaS così attivo e di successo. La loro capacità di rivelare più di 40 vittime al mese è impressionante e lo rende un'operazione globale e ben dimensionata.

Water Saci si diffonde tramite WhatsApp

Trend Micro ha recentemente pubblicato una ricerca su una campagna di malware attiva denominata Water Saci, che prende di mira le sessioni Web di WhatsApp attraverso una catena di infezione autopropagante. Il malware sfrutta i caricatori basati su script (VBS + PowerShell ) per l’esecuzione senza file, dirotta le sessioni del browser e automatizza la consegna dei messaggi WhatsApp per diffondere base64-encoded file ZIP dannosi con nomi di file casuali a tutti i contatti e gruppi. È dotato di persistenza avanzata e controllo del comando in tempo reale via e-mail, condividendo tattiche con il trojan bancario Coyote.

Dettagli catena di attacco

L'indagine di Trend Micro ha rivelato che Water Saci utilizza una catena di infezione altamente strutturata avviata tramite WhatsApp Web. La campagna inizia con il download di file sospetti e si evolve in un dirottamento della sessione completa e nella propagazione automatica.

Le fasi principali includono:

• Prima fase: l’attacco inizia quando una vittima scarica ed estrae un archivio ZIP chiamato Orcamento-2025*.zip. All’interno è presente un downloader VBS offuscato (Orcamento.vbs) che emette un comando PowerShell per eseguire tadeu.ps1 direttamente in memoria utilizzando New-Object Net.WebClient, consentendo l’esecuzione fileless e ricadere ai valori predefiniti hardcoded se C2 non è raggiungibile.
• Configurazione ingannevole: lo script PowerShell visualizza un banner che afferma di essere "WhatsApp Automation v6,0", quindi stabilisce la comunicazione con la sua infrastruttura di comando e controllo (C2) per recuperare elenchi di destinazione, modelli di messaggio e configurazioni di temporizzazione. Crea uno spazio di lavoro temporaneo, scarica la libreria di automazione WA-JS da GitHub e salva un payload dannoso per un uso successivo.
• Dirottamento del browser: il malware controlla la versione di Chrome installata, scarica il ChromeDriver corretto e installa il modulo Selenium PowerShell per le attività automatizzate del browser. Termina i processi di Chrome , cancella le vecchie sessioni e copia il profilo Chrome della vittima (cookie e token) per bypassare l’autenticazione di WhatsApp senza la scansione del codice QR. Chrome viene rilanciato con flag di automazione progettati per eludere il rilevamento e WA-JS viene iniettato per il pieno controllo di WhatsApp.
• Propagazione ed esfiltrazione: Con la sessione dirottata attiva, il malware raccoglie tutti i contatti WhatsApp e li esfiltra al C2. Distribuisce quindi file ZIP dannosi utilizzando la codifica base64 , nomi di file randomizzati e messaggi personalizzati, mentre gli aggressori mantengono il controllo in tempo reale per mettere in pausa, riprendere e monitorare la campagna su macchine infette.

Porta posteriore SORVEPOTEL

L'archivio ZIP scaricato contiene Orcamento.vbs, noto anche come backdoor SORVEPOTEL. Questo componente impiega tecniche avanzate di anti-analisi, tra cui controlli linguistici per limitare l'esecuzione ai sistemi portoghesi, rilevamento dei debugger e un mutex basato su WMI per Enforce l'esecuzione a singola istanza. Se vengono rilevati strumenti di analisi, il malware attiva una routine di autodistruzione.

La persistenza è ottenuta attraverso meccanismi multi-vettore, tra cui le modifiche del Registro di sistema e le attività pianificate utilizzando una copia rilasciata denominata WinManagers.vbs in C:\ProgramData\WindowsManager\.

Trend Micro ritiene che le caratteristiche più sofisticate di SORVEPOTEL siano la sua architettura a doppio canale C2 :

• Recupero basato su e-mail: il malware utilizza le connessioni IMAP agli account e-mail terra.com.br hardcoded per ottenere C2 URL del server e dati di configurazione. Queste e-mail contengono più tipi di URL (endpoint di dati, server di backup e consegna del payload di PowerShell ). Gli aggressori hanno successivamente introdotto l’MFA per questi account, aggiungendo ritardi operativi ma migliorando la sicurezza della loro infrastruttura.
• polling HTTP per il controllo in tempo reale: una volta recuperati gli URL, il malware passa al polling HTTP aggressivo per l’esecuzione dei comandi in tempo reale. Questo meccanismo consente agli aggressori di mettere in pausa, riprendere e coordinare operazioni simili a botnet su macchine infette, garantendo controllo dinamico e adattabilità durante le campagne.

I comandi supportati includono la raccolta delle informazioni di sistema, l'esecuzione di PowerShell , l'acquisizione di screenshot, l'enumerazione dei processi, le operazioni sui file e il controllo dell'alimentazione del sistema (riavvio/arresto), tra gli altri.

Evoluzione della Saci e possibili collegamenti con il Coyote

L'analisi di Trend Micro rivela che Water Saci condivide significative somiglianze tecniche e operative con il trojan bancario Coyote, suggerendo che entrambe le campagne potrebbero provenire dallo stesso ecosistema criminale informatico brasiliano.

Le principali sovrapposizioni includono:

• Utilizzo di WhatsApp Web session hijacking per l’auto-propagazione
• Automazione del browser tramite ChromeDriver e Selenium, combinata con iniezione WA-JS
• Tecniche di anti-analisi avanzate come i controlli della lingua portoghese e il rilevamento del debugger
• Punto d’appoggio persistente attraverso le modifiche del Registro di sistema, le attività pianificate e gli script eliminati

Queste sovrapposizioni evidenziano una tendenza più ampia: gli attori delle minacce passano da payload rumorosi e compilati ad attacchi furtivi basati su script che sfruttano profili di browser legittimi e piattaforme di messaggistica.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

Il passaggio a WhatsApp Web come vettore di infezione evidenzia una significativa evoluzione delle tattiche di social engineering. Gli attori delle minacce stanno ora sfruttando piattaforme di comunicazione affidabili per aggirare le tradizionali difese basate sulle e-mail e sfruttare la familiarità degli utenti.

L’uso di funzionalità di esecuzione fileless e controllo in tempo reale da parte della campagna rende anche più difficile da Detect e contenere. Vale la pena tenere d’occhio questa minaccia, soprattutto considerando la sua evoluzione e le ultime capacità.

Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium per iniziare una conversazione.

Per ulteriori letture, rimani aggiornato sulle nostre recenti raccolte di informazioni sulle minacce informatiche.