Nella rassegna di questa settimana, CTI analizza il modo in cui gli autori di minacce nordcoreani stanno prendendo di mira chi è alla ricerca di un impiego con una variante di malware per macOS denominata Ferret. Successivamente, CTI analizza il recente aumento del numero di attacchi rivolti agli utenti di macOS. CTI esamina inoltre una campagna di phishing che utilizza collegamenti a SharePoint per indirizzare le vittime verso un report Power BI legittimo.
Gli hacker nordcoreani prendono di mira chi cerca lavoro con il malware Ferret
Gli autori di attacchi informatici nordcoreani stanno attualmente diffondendo una variante di malware per macOS denominata Ferret nell’ambito di una finta procedura di colloquio di lavoro.
Sebbene Apple abbia rilasciato aggiornamenti delle firme per proteggere gli utenti finali dal malware Ferret, i ricercatori di SentinelOne specializzati in analisi delle minacce informatiche ( ) (si apre in una nuova scheda) hanno recentemente individuato alcuni campioni, denominati FlexibleFerret, che non vengono rilevati dallo strumento antimalware integrato nei dispositivi Apple, XProtect.
Cenni storici sulla famiglia di malware Ferret
Diversi rapporti precedenti redatti da vari ricercatori hanno fornito dettagli sui componenti del malware relativi alla campagna “Contagious Interview” di : (si apre in una nuova scheda). In tale campagna, le vittime entrano in contatto con una persona che credono sia un selezionatore per un posto di lavoro e viene loro chiesto di installare un software per una riunione virtuale o altri componenti necessari per lo svolgimento del colloquio.
Apple ha recentemente rilasciato un aggiornamento fondamentale per XProtect volto a contrastare specifici componenti di malware, tra cui una backdoor che si maschera da file del sistema operativo e due moduli di persistenza collegati alla famiglia Ferret.
Che cos’è FlexibleFerret?
Come indicato in precedenza, SentinelOne ha individuato nuovi campioni della famiglia di malware Ferret, che ha denominato FlexibleFerret.
I ricercatori hanno inizialmente individuato questi campioni aggiuntivi dopo aver esteso la propria analisi ad altri componenti del malware Ferret. Il dropper che hanno scoperto è un pacchetto Apple Installer contenente due applicazioni, un file binario autonomo e uno script.
Come funziona FlexibleFerret?
SentinelOne ha accertato che il pacchetto di installazione utilizzerà lo script per scaricare ed eseguire componenti aggiuntivi dopo aver ottenuto i privilegi elevati necessari, registrando le proprie azioni in un file di log.
Il file binario contenuto nel pacchetto si collegherà a un dominio di phishing mentre lo script esegue una delle applicazioni in esso contenute.
Questa applicazione visualizzerà un messaggio di errore alla vittima per indurla a credere che il processo stia procedendo in modo autentico. Nel frattempo, il malware si assicura la persistenza in background.
FlexibleFerret e ChromeUpdate
I componenti Ferret recentemente scoperti sono collegati alle più recenti regole Ferret di Apple. Il file binario stesso presenta una somiglianza del 86% con il file binario ChromeUpdate e contiene stringhe pressoché identiche.
Secondo SentinelOne, XProtect attualmente non riconosce i file binari contenuti nel pacchetto di installazione dannoso come malware.
Che cos’è la campagna “Contagious Interview”?
FlexibleFerret fa parte della campagna “Contagious Interview” di , attualmente in corso (si apre in una nuova scheda), che è in corso almeno dal numero 2023.
Questa campagna si rivolge principalmente a sviluppatori in cerca di lavoro e spesso induce i candidati fasulli a scaricare componenti contenenti malware necessari per sostenere un colloquio.
In un caso degno di nota, un autore di minacce ha esteso il proprio raggio d’azione per prendere di mira gli utenti di GitHub anziché limitarsi alle sole persone in cerca di lavoro, come accertato da SentinelOne.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il rapporto di SentinelOne fornisce informazioni fondamentali su una campagna ancora in corso in cui alcuni soggetti nordcoreani si spacciano per reclutatori di personale.
Il nuovo malware Ferret suggerisce che tali autori continuino a sviluppare strumenti per potenziare la campagna, mentre il fatto che prendano di mira utenti generici di GitHub indica che potrebbero stare ampliando il proprio raggio d’azione oltre i candidati in cerca di lavoro.
Gli utenti di macOS devono affrontare una minaccia sempre più grave da parte dei programmi di furto di dati
Palo Alto sta registrando un aumento (si apre in una nuova scheda) degli attacchi rivolti agli utenti macOS; i dati di telemetria dell’azienda indicano infatti un aumento del 101% degli infostealer per macOS negli ultimi due trimestri del 2024. Inoltre, ha individuato i tre infostealer più diffusi su macOS: Poseidon, Atomic e Cthulhu.
I tre principali programmi di furto di dati che prendono di mira macOS
- Atomic Stealer (AMOS) è in circolazione almeno dal 2023 ed è disponibile sui forum clandestini come malware-as-a-service (MaaS). Sin dalla sua comparsa sono state disponibili diverse versioni, con le prime iterazioni sviluppate in Go e quelle più recenti scritte in C++.
Indipendentemente dalla versione, molti operatori di AMOS lo diffondono tramite malvertising per sottrarre appunti e documenti, dati del browser, portafogli di criptovalute e dati relativi alla messaggistica istantanea. - , noto come Poseidon Stealer, è stato pubblicizzato nei forum dedicati alla criminalità informatica da una persona con lo pseudonimo di Rodrigo4 , che, a quanto pare, avrebbe anche collaborato alla programmazione di AMOS. Palo Alto rileva che il malware Poseidon MaaS è stato venduto la scorsa estate a un acquirente sconosciuto, sebbene il malware abbia continuato a essere attivo in ambiente reale.
Questo malware di furto di informazioni viene spesso diffuso tramite programmi di installazione infettati da trojan che imitano software e applicazioni legittimi. Questi programmi di installazione vengono spesso distribuiti tramite annunci pubblicitari dannosi Google (si apre in una nuova scheda) oppure tramite e-mail e includono un file AppleScript codificato per l’installazione del malware.
Secondo Palo Alto, Poseidon è in grado di eseguire una serie di operazioni, quali la raccolta di informazioni di sistema, il furto di dati del browser e dei portafogli di criptovalute, nonché l’estrazione di password dai gestori di password.
- Cthulhu Stealer è disponibile anche come offerta MaaS. Questo programma di furto di dati viene spesso diffuso tramite programmi di installazione di applicazioni dannose. Questi programmi di installazione visualizzano una finestra di dialogo in cui si richiede alla vittima di inserire una password per aggiornare le impostazioni di sistema.
Questo programma di furto di informazioni prende di mira una gamma molto più ampia di dati, tra cui i file di configurazione di FileZilla, i file di appunti, estensioni di file specifiche, i dati del browser e altro ancora.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Negli ultimi anni, il numero di minacce rivolte a macOS, tra cui il ransomware , (si apre in una nuova scheda),, , le vulnerabilità e i programmi di furto di dati, è aumentato in modo significativo.
Tale aumento potrebbe essere dovuto alla diffusione capillare dei dispositivi macOS. Tuttavia, potrebbe anche semplicemente trattarsi del fatto che gli autori delle minacce stiano cercando settori in cui la concorrenza sia minore. Dopotutto, il mondo della criminalità informatica opera sempre più come un’azienda.
La ricerca condotta da Palo Alto offre preziose informazioni su tre specifici programmi di furto di dati per macOS che possono portare a ulteriori attività dannose.
Gli autori delle minacce sfruttano MS Power BI in una campagna di phishing
Cofense ha rilevato (si apre in una nuova scheda) una campagna di phishing che utilizza collegamenti SharePoint per indirizzare le vittime verso un report Power BI autentico, esortandole a cliccare su un collegamento per “aprire il documento”, che le reindirizza alla pagina di phishing vera e propria.
Che aspetto ha l’e-mail di phishing relativa a MS Power BI?
Le e-mail di phishing relative a “ ” (si apre in una nuova scheda) inviate nell’ambito di questa campagna utilizzano un oggetto relativo alle conferme di pagamento per creare un senso di urgenza e indurre il destinatario a cliccare d’impulso. Ogni e-mail presenta inoltre elementi di branding e una formattazione familiari, al fine di indurre le vittime a credere che si tratti di un file SharePoint legittimo.
Cosa accade quando si fa clic sul collegamento a Power BI?
Se la vittima clicca sul link “apri” contenuto nell’e-mail, verrà reindirizzata a un link autentico di Power BI.
Secondo Cofense, l’utilizzo di link effettivi a Power BI aumenta la probabilità che tali e-mail eludano i gateway di posta elettronica sicuri e riescano più facilmente a convincere le vittime della legittimità delle loro azioni.
Cofense sottolinea che il primo segnale che qualcosa non va è quando alla vittima viene chiesto di fare clic su un pulsante con la scritta “Apri documento”. Questo pulsante rimanda alla vera pagina di phishing.
Come funziona la pagina di phishing?
La pagina di phishing è una tipica pagina di accesso a Microsoft che richiede l'inserimento di nome utente e password. L'unico elemento sospetto presente nella pagina stessa è l'indirizzo URL, che chiaramente non corrisponde all'indirizzo legittimo Microsoft URL.
Cofense sottolinea inoltre che questa richiesta di credenziali per accedere a un documento condiviso è insolita e potrebbe indicare un potenziale problema.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna di phishing costituisce un ottimo esempio di come gli autori delle minacce sfruttino spesso strumenti affidabili, in particolare quelli utilizzati sul posto di lavoro.
Poiché queste e-mail di phishing contengono link legittimi a Power BI, il tradizionale
formazione in materia di sicurezza informatica per i dipendenti
In questo caso, passare il mouse sui link sospetti per identificarli non funzionerebbe.
Questo tipo di e-mail di phishing richiede che le vittime prese di mira prestino attenzione a ulteriori segnali di allarme (ad esempio, il fatto di non aspettarsi di ricevere un’e-mail) per riconoscerle come tentativi di phishing.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”: (si apre in una nuova scheda),e .
