Nel riepilogo di questa settimana, CTI indaga su un infostealer di pitone chiamato Emansrepo che si diffonde tramite e-mail e ha tre diverse catene di attacco. Successivamente, CTI esamina un recente rapporto di Palo Alto che copre 19 domini di primo livello (TLD) che sono stati rilasciati nell'ultimo anno. Infine, CTI conclude con una panoramica di KTLVdoor, che è una nuova backdoor multipiattaforma dell’attore di minacce di lingua cinese noto come Earth Lusca.
1. Emansrepo Stealer si diffonde via e-mail
I ricercatori di Fortinet hanno recentemente osservato un infostealer Python chiamato Emansrepo che si diffonde attraverso e-mail contenenti ordini di acquisto e fatture falsi.
Secondo Fortinet, il malware comprime i dati da browser e file prima di esfiltrarli. Questa campagna è attiva dal novembre 2023.
Catene di attacco di Emansrepo
I ricercatori hanno osservato tre diverse catene di attacco di Emansrepo tra luglio e agosto 2024. Sulla base dei loro risultati, i flussi di attacco della campagna sembrano essere sempre più complessi.
- La prima catena contiene un allegato e-mail con un dropper che finge di essere una pagina di download. Secondo Fortinet, crea un elemento di collegamento che punta ai dati di “Purchase-Order.7z”, utilizza il metodo click() per “scaricare” il file 7z e quindi reindirizza a un sito Web non correlato. Il file zip contiene anche un eseguibile compilato con AutoIT contenente moduli python per rubare informazioni.
- Nella seconda catena, l'e-mail contiene un file ZIP con un file HTA. Utilizza un file sorgente basato su JavaScript per scaricare uno script PowerShell per la fase successiva.
- La terza catena riguarda un’e-mail di phishing con un link a un file batch offuscato. Questo scaricherà ed eseguirà lo script PowerShell .
Il malware di Emansrepo
L’infostealer memorizza i dati rubati in cartelle temporanee, li invia all’autore della minaccia e quindi elimina le informazioni.
Il malware tenterà di raccogliere una varietà di informazioni come dati di accesso, informazioni sulla carta di credito, cronologia di navigazione e download. Quindi copierà i file PDF dalle cartelle Desktop, Documenti, Download e Recenti e comprimerà le cartelle per le estensioni del browser, i portafogli crittografici e altro ancora. Il malware copierà anche i file dei Cookie e comprimerà i dati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Oltre a far evolvere continuamente la catena di attacco, l’attore sta utilizzando più di una catena alla volta, o almeno sta ruotando molto rapidamente da una all’altra.
Fortunatamente, le catene di attacco sembrano tutte iniziare con e-mail di phishing che utilizzano il comune ordine di acquisto / fattura, spesso incluso nel materiale di formazione sulla consapevolezza della sicurezza.
2. Palo Alto fa luce sui domini di primo livello in un nuovo rapporto
Nel suo ultimo rapporto, Palo Alto esamina 19 nuovi domini di primo livello (TLD) che sono stati rilasciati nell'ultimo anno.
La loro indagine rivela molteplici campagne di phishing su larga scala, così come la distribuzione di programmi potenzialmente indesiderati. Sembra anche esserci una correlazione tra la data di disponibilità generale dei nuovi TLD e la loro popolarità.
Fasi di implementazione TLD
Il rapporto indica che i TLD vengono distribuiti in fasi. Ogni TLD è tracciato in un database autorevole - o registro - e deve essere approvato per il rilascio.
Dopo l'approvazione, passano attraverso più fasi tra cui sunrise, landrush, accesso anticipato e disponibilità generale.
- Durante la fase di sunrise obbligatoria, la registrazione è disponibile solo per coloro che dispongono di un record di marchio convalidato.
- Nella fase di landrush, la registrazione è aperta al pubblico per nomi di dominio specifici o premium. A volte si traduce in un'asta.
- Alcuni TLD passeranno attraverso un periodo di accesso anticipato in cui le persone possono registrare un dominio a un prezzo premium prima del lancio ufficiale.
- Infine, il TLD si sposta alla disponibilità generale e diventa disponibile al pubblico.
- Fonti di dati
La ricerca di Palo Alto si concentra su 19 TLD che sono stati rilasciati di recente o sono in una delle fasi sopra menzionate prima della disponibilità generale. I TLD includono .bot, .box, .case, .channel, .dad, .esq, .foo, .ing, .lifestyle, .living, .meme, .mov, .music, .nexus, .phd, .prof, .vana, .watches e .zip.
Casi di studio
Palo Alto ha utilizzato un sistema di rilevamento basato su grafici per analizzare domini, estrarre dati correlati e generare visualizzazioni. I ricercatori hanno alimentato ogni grafico attraverso un processo di clustering per cercare punti in comune. I risultati rivelano attacchi di phishing su larga scala, la distribuzione di programmi potenzialmente indesiderati (PUP), campagne di pranking o meme e siti Web torrenting.
Un gruppo di attività ha rivelato un’esca che induce le vittime a scansionare un codice QR. L’attacco tenta di indurre la vittima a iniziare a inviare messaggi di testo e cerca di introdurla a varie truffe, spam e campagne di raccolta dati. Complessivamente, in questa campagna sono stati utilizzati 92 domini appartenenti al TLD “bot”.
Ulteriori casi di studio e campagne identificate sono disponibili nel rapporto di Palo Alto.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’analisi di Palo Alto rivela alcuni punti interessanti. Ad esempio, conferma che gli attori tendono a monitorare e sfruttare il mutevole panorama delle minacce sfruttando le principali notizie, le nuove tecnologie, le vulnerabilità emergenti e i nuovi TLD.
La loro ricerca dimostra anche quanto velocemente gli attori delle minacce possono armare e abusare dei TLD man mano che vengono creati. Pertanto, è importante essere vigili con tutti i domini, in particolare quelli che sembrano sospetti.
3. Earth Lusca implementa una nuova backdoor multipiattaforma
Secondo un recente rapporto di Trend Micro, l'attore di minacce di lingua cinese noto come Earth Lusca sta ora utilizzando una nuova backdoor multipiattaforma chiamata KTLVdoor.
La backdoor, che si maschera come diverse utility di sistema, è stata osservata in un attacco su larga scala che ha coinvolto più di 50 C2 server. A questo punto, i ricercatori hanno identificato solo un obiettivo confermato dell'operazione, che è una società commerciale con sede in Cina.
Analisi malware KTLVdoor
La nuova backdoor è fortemente offuscata e finge di essere diverse utility di sistema. Gli attori utilizzano questo strumento per più attività, tra cui la manipolazione di file, l'esecuzione di comandi e la scansione di porte remote. I ricercatori hanno scoperto una versione Windows e Linux del malware.
- Malware offuscamento: Come notato, questo malware è fortemente offuscato. Trend Micro rileva che molte stringhe incorporate sono illeggibili, i simboli vengono rimossi e la maggior parte delle funzioni e dei pacchetti è stata rinominata in stringhe dall'aspetto casuale.
- Configurazione: il primo passo del malware è quello di inizializzare i parametri di configurazione dell'agente che sono XOR-crittografati e Base64-encoded. Il formato del file è un formato TLV-live personalizzato con "KTLV" pre-inviato. Parte della struttura di configurazione è la struttura HostInfo che contiene parametri sulla macchina infetta, tra cui nome utente, IP, nome host, nome processo, sistema operativo, dischi, uptime, tempo di sospensione e altro ancora.
- Impostazioni di connessione: i server C2 sono memorizzati come valore "connetti" che è AES-GCM-crittografato e Base64-encoded.
- Comunicazione: dopo l'inizializzazione, l'agente inizierà un ciclo di comunicazione con un server C2 . Questa comunicazione invia e riceve messaggi che sono compressi GZIP e crittografati. I messaggi possono essere consegnati in modalità simplex o duplex.
- Attività di ricezione: l'agente implementerà i gestori per elaborare le attività che riceve dal C2. Questi gestori sono per cose come il download e il caricamento di file, il lancio di shell interattive e altro ancora.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Trend Micro ha rilevato più di 50 C2 server, un numero estremamente elevato, soprattutto con un solo obiettivo confermato. Ciò potrebbe indicare che sono in corso i primi test.
Si ritiene che lo strumento sia collegato a Earth Lusca, che è un attore di lingua cinese. Ma poiché gli attori di lingua cinese spesso condividono strumenti, è possibile che lo strumento diventerà più diffuso in futuro.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium e inizia una conversazione.
Per ulteriori letture, recupera i nostri recenti raggruppamenti di informazioni sulle minacce informatiche.
