Questa settimana, CTI fornisce un aggiornamento sul loader FakeBat, illustrandone in particolare i principali metodi di distribuzione e l’infrastruttura degli autori dell’attacco. CTI analizza inoltre i risultati principali emersi dal recente rapporto sulle minacce di ESET relativo al primo semestre del 2024.
1. Il malware FakeBat Loader-as-a-Service si diffonde attraverso diverse catene
Finora, nel corso del 2024, Sekoia ha rilevato diverse campagne FakeBat. Il suo ultimo rapporto analizza in dettaglio i diversi metodi di distribuzione e le componenti infrastrutturali che sono stati individuati.
Secondo Sekoia, il loader FakeBat è stato uno dei loader di maggiore portata nel primo trimestre del 2024 a sfruttare il download drive-by. Il lanciatore veniva solitamente utilizzato per lanciare un carico utile di secondo stadio, come Lumma, RedLine e altri.
FakeBat sui forum dedicati alla criminalità informatica
FakeBat è stato individuato per la prima volta su un forum clandestino all’indirizzo dicembre 2022 , dove veniva pubblicizzato e venduto come “loader-as-a-service” nel forum dedicato agli exploit. È stato pubblicizzato come malware di tipo “loader” in formato MSI , dotato di varie funzionalità anti-rilevamento. Il loader mette inoltre a disposizione degli utenti un pannello di amministrazione per creare e gestire le proprie campagne.
Soggetti coinvolti nella distribuzione di FakeBat
Sekoia ha individuato diverse catene di infezione da FakeBat che, a suo avviso, corrispondono a diversi clienti del MaaS.
Hanno inoltre individuato diverse campagne che si spacciano per software di largo consumo, tra cui 1Password, Chrome, Microsoft Teams, Zoom, VMware e molte altre. I responsabili di queste campagne utilizzano gli annunci “ Google ” per far apparire questi siti web dannosi nella parte superiore della pagina. Quando una vittima clicca su uno di questi siti dannosi, viene reindirizzata a una pagina che assomiglia molto al sito web legittimo. Un pulsante presente nella pagina reindirizzerà l'utente e darà avvio al download di un file MSIX firmato, noto anche come FakeBat.
Gli autori delle minacce stanno inoltre compromettendo siti WordPress per indurre gli utenti a credere che il loro browser Chrome necessiti di un aggiornamento. Al giugno 2024, Sekoia ha individuato oltre 250 siti web compromessi che provocano il download di FakeBat.
È stata osservata una terza modalità di diffusione nel sito maggio 2024 , che aveva come destinatari i web3 Community. In questo contesto di attività, il malware è stato diffuso sotto forma di una falsa applicazione di chat denominata “ web3 ”. L'autore dell'attacco ha utilizzato siti web, account verificati sui social media e video promozionali per rafforzare la percezione di legittimità della propria applicazione. Questa attività era leggermente diversa dalle altre, poiché per scaricarla era necessario un codice di invito.
Infrastruttura dell'avversario
Sekoia è riuscita a individuare una discreta quantità di infrastrutture degli autori degli attacchi associate alle campagne FakeBat. Ritengono che i recenti server FakeBat C2 siano in grado di «filtrare il traffico in base a caratteristiche quali il valore dell’user-agent, l’indirizzo IP e la posizione», il che consente all’operatore di effettuare un targeting molto strategico e personalizzato. I ricercatori hanno inoltre stilato un elenco dei server FakeBat C2 e dei domini di hosting che si ritiene siano di proprietà degli operatori di FakeBat.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Esistono così tante offerte MaaS sul mercato che può risultare difficile tenere traccia di quali rappresentino la minaccia maggiore. Essendo uno dei loader più diffusi che utilizzano la tecnica “drive-by” nella versione 2024, FakeBat merita sicuramente la vostra attenzione.
Il fatto che questo malware venga venduto solo a un numero limitato di utenti lo rende ancora più impressionante, considerando che ha avuto conseguenze di vasta portata. FakeBat sembra essere diffuso attraverso una moltitudine di canali, il che è probabilmente dovuto al fatto che il malware venga utilizzato da diversi soggetti. Detto questo, è probabile che le sue modalità di diffusione continuino ad evolversi, poiché gli autori delle minacce sono costantemente alla ricerca di nuove tecniche.
2. Principali risultati emersi dal rapporto sulle minacce di ESET
ESET ha pubblicato il proprio rapporto sulle minacce relative al primo semestre del 2024. Il rapporto illustra le tendenze relative alle minacce nel periodo compreso tra il dicembre 2023 e il maggio 2024 , sulla base dei dati telemetrici di ESET.
Tra le tendenze osservate figurano un aumento del malware di tipo “infostealing” ( ) che si spaccia per strumenti di intelligenza artificiale generativa e una diminuzione delle minacce rivolte al sistema Android.
Le minacce rivolte ad Android sono in calo
ESET ha registrato una diminuzione dei casi di rilevamento di minacce su Android nel corso del primo semestre dell'anno. Tale calo rappresenta una leggera sorpresa, poiché le minacce rivolte ad Android tendono spesso ad aumentare in occasione degli eventi stagionali.
Nonostante tale calo, il malware per Android continua a evolversi. Un esempio di ciò è rappresentato dal malware GoldPickaxe, che prende di mira sia Android che iOS. La versione per Android viene distribuita su siti web che si spacciano per il Play Store di Google . Si ritiene che l'autore di questo malware sia un gruppo organizzato di lingua cinese noto come GoldFactory.
ESET ha inoltre osservato un’evoluzione delle minacce finanziarie su Android. Tra le tattiche utilizzate nei recenti attacchi di malware su Android figurano l’uso improprio dei servizi di accessibilità di Android, l’utilizzo di sistemi automatizzati per trasferire fondi senza autorizzazione e l’aggiramento di 2FA.
Linux minacce
Nel proprio rapporto, ESET ha analizzato una specifica minaccia di tipo “ Linux ” denominata “Operazione Windigo”. Questa operazione sfrutta la famiglia di malware Ebury, che è in circolazione da circa 10 anni e continua a rappresentare una minaccia.
Ebury è una backdoor OpenSSH e uno strumento per il furto di credenziali, e costituisce il nucleo di un insieme di minacce a livello di server. Il malware prende spesso di mira i portafogli di criptovalute, sfruttando la propria presenza nei data center di tutto il mondo per condurre attacchi di tipo “man-in-the-middle”.
Minacce legate all’intelligenza artificiale
Non sorprende che, nella prima metà dell’anno, siano stati registrati diversi attacchi che hanno coinvolto in qualche modo l’intelligenza artificiale. ESET ha rilevato diversi casi in cui i nomi dei modelli di intelligenza artificiale sono stati utilizzati come esca per diffondere malware. Un esempio di ciò si è verificato quando hanno individuato un'estensione del browser con un programma di installazione dannoso che si presentava come un’ App e desktop per l’intelligenza artificiale, ma che in realtà scaricava malware.
Minacce informatiche
Lo sfruttamento delle vulnerabilità dei plugin di WordPress ha continuato a rappresentare una minaccia negli ultimi sei mesi. In particolare, gli autori delle minacce stanno sfruttando il Balada Injector e la famiglia JS/Agent.
Programmi per il furto di informazioni e programmi di download
Anche gli “infostealer” continuano a rappresentare una delle principali preoccupazioni, poiché gli autori delle minacce li utilizzano sempre più spesso per prendere di mira le aziende del settore dei videogiochi e i giocatori. Tra i più diffusi programmi di furto di dati degli ultimi mesi figurano, tra gli altri, RedLine e Lumma.
Gli utenti che scaricano file hanno iniziato a variare le proprie modalità di distribuzione, registrando un aumento del 10% nel numero di utenti negli ultimi mesi. Anche le minacce basate sulle macro sono aumentate in questo periodo, nonostante le macro siano bloccate per impostazione predefinita da Microsoft.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È importante tenere presente che tali tendenze si basano sui dati telemetrici di una specifica entità e non sono indicative dell’intero panorama. Tuttavia, molte delle tendenze evidenziate da ESET sono in linea con altri studi del settore e il loro rapporto costituisce una lettura interessante.
Un altro aspetto interessante è la ripartizione delle diverse modalità con cui vengono distribuiti i downloader, man mano che gli autori di malware iniziano a individuare nuove vie per eludere il rilevamento. Ad esempio, stiamo iniziando a constatare un calo nell’uso dell’HTML. Alcuni di quelli che vengono comunemente segnalati, in particolare LNK e VBS, non rappresentavano una percentuale così elevata come avevamo ipotizzato.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
