Nella rassegna di questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza la recente evoluzione del malware GIFTEDCROOK. A seguire, il team esamina le principali minacce informatiche della prima metà del 2025 sulla base di un nuovo rapporto di ESET. Infine, analizziamo in che modo Jasper Sleet, un attore malintenzionato nordcoreano, stia utilizzando lavoratori IT in remoto per infiltrarsi negli ambienti aziendali.
Il malware GIFTEDCROOK si evolve da programma di furto di dati dal browser a strumento di raccolta di informazioni
Secondo Arctic Wolf, il gruppo di spionaggio informatico UAC-0226 ha notevolmente potenziato il proprio malware GIFTEDCROOK, trasformandone le funzionalità da un semplice strumento di furto di dati dal browser a uno strumento in grado di effettuare una raccolta di informazioni più ampia. Tale sviluppo coincide con i recenti avvenimenti geopolitici, tra cui i negoziati di pace tra Ucraina e Russia tenutisi a Istanbul.
All’inizio di quest’anno, il CERT-UA dell’ e ha segnalato su GIFTEDCROOK v1, uno strumento progettato per sottrarre dati dal browser e utilizzato in campagne dirette contro l’Ucraina. In maggio 2025, poco dopo l’avvio dei negoziati tra Ucraina e Russia, è stato dispiegato GIFTEDCROOK v1,2 .
Come funziona GIFTEDCROOK
Il malware viene solitamente diffuso tramite campagne di spear-phishing. Queste e-mail provengono da un provider di hosting e utilizzano un Sender Policy Framework (SPF) impostato su “?"tutti" — il che riduce la capacità del destinatario di impedire lo spoofing delle e-mail.
Arctic Wolf ha inoltre rilevato una seconda campagna in cui l’e-mail di phishing includeva un allegato PDF contenente un link che, alla fine, installava il malware RAT NetSupport denominato “ ”.
Panoramica delle versioni di GIFTEDCROOK
- v1,0: Un semplice programma di furto di informazioni progettato per estrarre i dati del browser.
- v1,2: Ha introdotto la crittografia delle stringhe e la possibilità di identificare e sottrarre file in base al tipo di estensione. Si applica ai file fino al numero 5MB che sono stati modificati negli ultimi 15 giorni.
- v1,3: Si basa sulle precedenti versioni del malware GIFTEDCROOK, combinando il furto di dati dal browser con attacchi mirati ai file. Utilizza una tecnica di elusione dello stato di sospensione per aggirare il sandboxing, prende di mira i file modificati negli ultimi 45 giorni ed esfiltra i dati tramite Telegram. Supporta browser quali Edge, Chrome e Firefox, ed è destinato a file di dimensioni inferiori a 7MB.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’evoluzione di GIFTEDCROOK da un semplice programma di furto di informazioni a un sofisticato strumento di raccolta di informazioni suggerisce un elevato livello sia di sofisticazione che di adattabilità da parte degli autori della minaccia UAC-0226.
Come sottolinea ripetutamente Arctic Wolf, questa campagna è in linea con i recenti avvenimenti geopolitici. Gli autori delle minacce ricorrono spesso a questa strategia per massimizzare l’impatto e portare avanti la propria attività di raccolta di informazioni strategiche. Detto questo, è probabile che UAC-0226 e GIFTEDCROOK continuino a evolversi.
Un nuovo rapporto rivela un forte aumento delle minacce avanzate nel corso del H1 2025
ESET ha recentemente pubblicato “ ”, un rapporto sulle minacce relativo al primo semestre del 2025 che evidenzia il significativo aumento delle minacce informatiche avanzate su piattaforme desktop e mobili. Di seguito sono riportati i punti chiave che mettono in luce l’evoluzione del panorama delle minacce:
ClickFix sta registrando un’impennata di popolarità
Un tempo “praticamente inesistente”, ClickFix è rapidamente diventato il secondo vettore di attacco più diffuso dopo il phishing di tipo “ ”.
Attualmente viene utilizzato per diffondere una serie di programmi di furto di informazioni ed è impiegato sia dai criminali informatici che da attori malintenzionati legati a Stati nazionali. Sebbene gli utenti di Windows rimangano il target principale, anche gli utenti di macOS e Linux sono stati colpiti.
Articoli correlati di CTI su ClickFix
Non è la prima volta che ci troviamo di fronte a questa minaccia. Scoprite come si è evoluta la situazione nelle precedenti rassegne CTI: perché stare al passo con i tempi significa rimanere informati:
- Pubblicato su 25 giugno 2025: Ultime informazioni sul ruolo di ClickFix nelle operazioni di phishing multivettoriale
- Pubblicato su 30 aprile 2025: Descrive in dettaglio come soggetti provenienti dalla Corea del Nord, dall’Iran e dalla Russia abbiano utilizzato ClickFix per diffondere malware tramite tecniche di ingegneria sociale
- Pubblicato su 12 marzo 2025: L’articolo tratta di una campagna di phishing che utilizza SharePoint e l’API Graph di Microsoft per distribuire un agente Havoc Demon modificato
- Pubblicato su 26 giugno 2024: Evidenzia l’utilizzo precoce di ClickFix in campagne di phishing su larga scala volte a diffondere il malware Vidar Stealer, tra cui l’attività TA571’s
SnakeStealer diventa l’infostealer più rilevato
In base ai dati di telemetria di ESET, SnakeStealer è diventato l’infostealer più rilevato. La sua ascesa coincide con un calo del 57% nel rilevamento di Agent Tesla, che è sceso al quarto posto dopo aver occupato in precedenza una delle prime posizioni in classifica.
Le iniziative di contrasto prendono di mira Lumma Stealer e Danabot
Oltre a monitorare le tendenze relative agli infostealer, ESET ha anche contribuito alle operazioni di contrasto rivolte contro , Lumma Stealer, e Danabot.
A seguito dell’operazione Lumma Stealer, l’attività è diminuita, sebbene ESET abbia rilevato tentativi di ricostruire il malware. Anche i rilevamenti di Danabot sono diminuiti, a indicare che l’operazione di smantellamento ha avuto esito positivo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
ClickFix è stato spesso al centro dell’attenzione dei media nelle ultime settimane e negli ultimi mesi, e il rapporto di ESET mette in evidenza quanto sia diventato popolare. Il suo aumento del 517% è significativo, soprattutto in quanto segna un cambiamento nella strategia degli attori, volta a sfruttare il comportamento umano piuttosto che la tecnologia.
Il rapporto esaustivo di ESET evidenzia inoltre come il panorama delle minacce possa adattarsi ed evolversi in breve tempo e come esso comprenda ogni tipo di dispositivo, dai computer desktop ai dispositivi mobili, con minacce multivettoriali.
Jasper Sleet si avvale di collaboratori IT che lavorano da remoto per infiltrarsi nelle organizzazioni
Microsoft ha individuato, nell’ambito dell’operazione “ ”, una campagna prolungata condotta dall’attore malintenzionato nordcoreano Jasper Sleet, che consiste nel fingersi professionisti IT freelance per ottenere l’accesso agli ambienti aziendali. Tali operazioni sostengono gli obiettivi di spionaggio della Repubblica Popolare Democratica di Corea (RPDC) e si avvalgono di tecniche di ingegneria sociale di tipo “ ” per ottenere un impiego a distanza.
Nell’ambito di questa campagna, i lavoratori del settore informatico nordcoreani mirano a ottenere un impiego a distanza, a svolgere le mansioni lavorative e a percepire una retribuzione, spesso utilizzata per sostenere il regime nordcoreano. Microsoft osserva che tali lavoratori hanno presentato candidature per posizioni in un’ampia gamma di settori a livello mondiale.
Creazione e riutilizzo di identità false
Le tattiche di Jasper Sleet comprendono la creazione o il furto di identità, complete di curriculum, indirizzi e-mail e account sui social media. I documenti e i rendiconti correlati sono redatti su misura per soddisfare i requisiti specifici dell’annuncio di lavoro.
Questi profili vengono talvolta riutilizzati in più applicazioni. Per rafforzare la propria credibilità, i professionisti del settore IT creeranno inoltre delle impronte digitali — quali i profili su GitHub — per mettere in evidenza le proprie esperienze lavorative precedenti.
L'uso dell'intelligenza artificiale per potenziare l'inganno
Microsoft ha osservato l'uso dell'intelligenza artificiale per migliorare tali profili, compresa la creazione di foto profilo, curriculum e indirizzi e-mail. Un archivio pubblico conteneva esempi di tali risorse generate dall’intelligenza artificiale, che si riteneva fossero collegate a tecnici informatici nordcoreani. Oltre a ricorrere a espedienti visivi, i lavoratori hanno utilizzato strumenti di mascheramento vocale basati sull’intelligenza artificiale per nascondere la propria identità durante le interviste e le comunicazioni a distanza.
Il ruolo dei facilitatori
Jasper Sleet ha iniziato a reclutare dei “facilitatori” per assistere i professionisti del settore IT nella ricerca di un impiego e nel processo di inserimento in azienda. Questi facilitatori aiutano ad aprire conti bancari, ad acquistare schede SIM, a registrarsi su piattaforme di ricerca di lavoro e a fornire indirizzi di spedizione per le attrezzature.
Strumenti per la persistenza e l’evasione
Per mantenere l’accesso ed eludere il rilevamento, Jasper Sleet utilizza reti private virtuali (VPN), server privati virtuali (VPS), servizi di “ proxy ” e strumenti di monitoraggio e gestione remota (RMM) per mimetizzarsi nell’attività dell’organizzazione e garantire la persistenza. Microsoft ha individuato l'utilizzo di JumpConnect, TinyPilot, RustDesk, TeamViewer, AnyViewer e AnyDesk.
Com'era prevedibile, questi professionisti del settore informatico cercheranno di evitare qualsiasi tipo di contatto diretto e si limiteranno a comunicazioni a distanza per non essere identificati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Microsoft utilizza il nome Jasper Sleet per “rappresentare le attività associate al programma nordcoreano di lavoratori IT a distanza”. Inoltre, monitora ulteriori gruppi nordcoreani che rappresentano una minaccia e che utilizzano tattiche, tecniche e procedure (TTP) simili per procurarsi incarichi e condurre operazioni correlate.
I lavoratori nordcoreani del settore informatico destano preoccupazione ormai da diversi anni e la minaccia non accenna a diminuire. Gli autori delle minacce si stanno rendendo conto sempre più che non è necessario effettuare attacchi informatici o reclutare collaboratori interni: farsi assumere direttamente all’interno di un’organizzazione può rivelarsi altrettanto efficace.
Microsoft osserva che l’intelligenza artificiale sta aggravando questa minaccia, rendendo più difficile per le organizzazioni Detect gli autori di attacchi malevoli.
Per aiutare gli amministratori della sicurezza a identificare e reagire alle attività correlate, Microsoft mette a disposizione diversi strumenti e funzionalità, tra cui azioni di indagine e monitoraggio, avvisi Defender e query di ricerca. Inoltre, il suo flusso di lavoro basato sull’apprendimento automatico è in grado di segnalare account sospetti potenzialmente collegati a tecnici informatici nordcoreani.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
