Nella rassegna di questa settimana, CTI analizza un programma di furto di informazioni scritto in Python denominato Emansrepo, che si diffonde tramite e-mail e presenta tre diverse catene di attacco. A seguire, CTI esamina un recente rapporto di Palo Alto che prende in esame 19 domini di primo livello (TLD) rilasciati nell’ultimo anno. Infine, CTI conclude con una panoramica su KTLVdoor, una nuova backdoor multipiattaforma sviluppata dall’autore di minacce di lingua cinese noto come Earth Lusca.
1. Emansrepo Stealer si diffonde tramite e-mail
I ricercatori di Fortinet hanno recentemente individuato un infostealer Python di tipo “ ” denominato Emansrepo , che si diffonde tramite e-mail contenenti ordini di acquisto e fatture contraffatti.
Secondo Fortinet, il malware comprime i dati provenienti dai browser e dai file prima di esfiltrarli. Questa campagna è attiva dal novembre 2023.
Le catene di attacco di Emansrepo
Tra luglio e il agosto 2024, i ricercatori hanno osservato tre diverse catene di attacchi Emansrepo. Sulla base dei risultati emersi, sembra che i flussi di attacco della campagna stiano diventando sempre più complessi.
- La prima catena contiene un allegato e-mail con un dropper che si presenta come una pagina di download. Secondo Fortinet, il codice crea un elemento di collegamento che rimanda ai dati di “Purchase-Order.7z”, utilizza il metodo click() per “scaricare” il file 7z e, successivamente, reindirizza l’utente a un sito web non correlato. Il file compresso contiene inoltre un eseguibile compilato con AutoIT che include moduli Python destinati al furto di informazioni.
- Nella seconda catena, l'e-mail contiene un file ZIP con all'interno un file HTA. Utilizza un file sorgente basato su JavaScript per scaricare uno script PowerShell in vista della fase successiva.
- La terza catena prevede l’invio di un’e-mail di phishing contenente un link a un file batch offuscato. In questo modo verrà scaricato ed eseguito lo script PowerShell .
Il malware di Emansrepo
Il programma di furto di informazioni archivia i dati sottratti in cartelle temporanee, li invia all’autore dell’attacco e, successivamente, li elimina.
Il malware tenterà di raccogliere una serie di informazioni quali dati di accesso, dati delle carte di credito, cronologia di navigazione e file scaricati. Successivamente, copierà i file PDF dalle cartelle “Desktop”, “Documenti”, “Download” e “Recenti” e comprimerà le cartelle relative alle estensioni del browser, ai portafogli di criptovalute e altro ancora. Il malware copierà inoltre i file presenti in Cookie e comprimerà i dati in formato zip.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Oltre a far evolvere costantemente la catena di attacco, l’autore sta utilizzando più di una catena alla volta — o, quantomeno, sta passando con estrema rapidità da una all’altra.
Fortunatamente, tutte le catene di attacchi sembrano avere origine da e-mail di phishing del tipo “ ” ( ) che utilizzano il classico espediente dell’ordine di acquisto o della fattura, spesso citato nei materiali di formazione sulla sensibilizzazione alla sicurezza.
2. Palo Alto fa luce sui domini di primo livello in un nuovo rapporto
Nel suo ultimo rapporto, Palo Alto esamina 19 nuovi domini di primo livello (TLD) che sono stati lanciati nel corso dell’ultimo anno.
La loro indagine ha portato alla luce numerose campagne di phishing su larga scala, nonché la diffusione di programmi potenzialmente indesiderati. Sembra inoltre esserci una correlazione tra la data di disponibilità generale dei nuovi TLD e la loro popolarità.
Fasi di implementazione dei TLD
Il rapporto indica che l’introduzione dei TLD avviene per fasi. Ogni TLD viene registrato in un database ufficiale — o registro — e deve essere approvato prima di poter essere reso disponibile.
Una volta approvati, attraversano diverse fasi, tra cui la fase “sunrise”, la fase “landrush”, la fase di accesso anticipato e quella di disponibilità generale.
- Durante la fase obbligatoria “sunrise”, la registrazione è riservata esclusivamente a coloro che dispongono di una registrazione di marchio convalidata.
- Nella fase di “landrush”, è aperta al pubblico la registrazione di nomi di dominio specifici o premium. A volte sfociano in un'asta.
- Alcuni TLD saranno soggetti a un periodo di accesso anticipato, durante il quale sarà possibile registrare un dominio a un prezzo maggiorato prima del lancio ufficiale.
- Infine, il TLD passa alla disponibilità generale e diventa accessibile al pubblico.
- Fonti dei dati
La ricerca di Palo Alto si concentra su 19 TLD che sono stati rilasciati di recente o che si trovano in una delle fasi sopra menzionate, in vista della loro disponibilità generale. I TLD includono .bot, .box, .case, .channel, .dad, .esq, .foo, .ing, .lifestyle, .living, .meme, .mov, .music, .nexus, .phd, .prof, .vana, .watches e .zip.
Casi di studio
Palo Alto ha utilizzato un sistema di rilevamento basato su grafi per analizzare i domini, estrarre i dati correlati e generare visualizzazioni. I ricercatori hanno sottoposto ciascun grafico a un processo di clustering per individuare eventuali elementi comuni. I risultati evidenziano attacchi di phishing su larga scala, la diffusione di programmi potenzialmente indesiderati (PUP), campagne di scherzi o meme e siti web dedicati al torrenting.
Un gruppo di attività ha messo in luce un espediente che induce le vittime a scansionare un codice QR. L'attacco mira a indurre la vittima a iniziare a inviare messaggi di testo e cerca di esporla a varie truffe, spam e campagne di raccolta dati. Complessivamente, in questa campagna sono stati utilizzati 92 domini appartenenti al TLD “.bot”.
Ulteriori casi di studio e campagne individuate sono disponibili sul sito nel rapporto di Palo Alto intitolato “”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'analisi di Palo Alto mette in luce alcuni aspetti interessanti. Ad esempio, conferma che gli attori tendono a monitorare e a sfruttare l’evoluzione del panorama delle minacce avvalendosi di notizie di grande risonanza, nuove tecnologie, vulnerabilità emergenti e nuovi TLD.
La loro ricerca dimostra inoltre con quanta rapidità gli autori delle minacce siano in grado di strumentalizzare e abusare dei TLD non appena questi vengono creati. Pertanto, è importante prestare attenzione a tutti i domini, in particolare a quelli che sembrano sospetti.
3. Earth Lusca distribuisce una nuova backdoor multipiattaforma
Secondo un recente rapporto di Trend Micro, l’autore delle minacce di lingua cinese noto come Earth Lusca sta ora utilizzando una nuova backdoor multipiattaforma di tipo “ ” denominata KTLVdoor.
La backdoor, denominata “ ” e che si maschera da diverse utility di sistema, è stata rilevata nel corso di un attacco su larga scala che ha coinvolto oltre 50 .C2 server. A questo punto, i ricercatori hanno individuato un solo obiettivo confermato dell’operazione, ovvero una società commerciale con sede in Cina.
Analisi del malware KTLVdoor
La nuova backdoor è fortemente offuscata e si presenta come diverse utilità di sistema. Gli autori di attacchi utilizzano questo strumento per diverse attività, tra cui la manipolazione di file, l’esecuzione di comandi e la scansione remota delle porte. I ricercatori hanno individuato una versione del malware denominata “ Windows ” e una denominata “ Linux ”.
- sull’offuscamento del malware: come già osservato, questo malware è fortemente offuscato. Trend Micro rileva che molte stringhe incorporate risultano illeggibili, che i simboli sono stati rimossi e che la maggior parte delle funzioni e dei pacchetti è stata rinominata con stringhe dall’aspetto casuale.
- e della configurazione: la prima operazione del malware consiste nell’inizializzare i parametri di configurazione dell’agente, che sono crittografati con XOR e pari a Base64-encoded. Il formato del file è un formato TLV-live personalizzato, preceduto dal prefisso “KTLV”. Parte della struttura di configurazione è costituita dalla struttura HostInfo, che contiene parametri relativi al computer infetto, tra cui nome utente, indirizzo IP, nome host, nome del processo, sistema operativo, dischi, tempo di attività, tempo di inattività e altro ancora.
- Impostazioni di connessione: I C2 server sono memorizzati come valore “connect”, crittografato con AES-GCM, e Base64-encoded.
- e di comunicazione: una volta completata con successo l'inizializzazione, l'agente avvierà un ciclo di comunicazione con un server C2 . Questa comunicazione invia e riceve messaggi compressi con GZIP e crittografati. I messaggi possono essere trasmessi in modalità simplex o duplex.
- Ricezione delle attività da: L’agente implementerà dei gestori per elaborare le attività ricevute dal C2. Questi gestori servono, ad esempio, per scaricare e caricare file, avviare shell interattive e altro ancora.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Trend Micro ha individuato oltre 50 .C2 server, un numero estremamente elevato, soprattutto considerando che vi è un solo bersaglio confermato. Ciò potrebbe indicare che siano in corso test preliminari.
Si ritiene che lo strumento sia collegato a Earth Lusca, un attore di lingua cinese. Tuttavia, poiché gli attori di lingua cinese spesso condividono gli stessi strumenti, è possibile che tali strumenti si diffondano maggiormente in futuro.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
