Questa settimana, CTI analizza in che modo un autore di minacce stia sfruttando un toolkit open source denominato Gophish per condurre campagne di phishing. A seguire, CTI analizza in che modo gli autori delle minacce incorporano contenuti dannosi all’interno dei file dei dischi rigidi virtuali per eludere i gateway di posta elettronica sicuri (SEG) e gli strumenti antivirus. Infine, CTI fornisce un aggiornamento sul famigerato malware Bumblebee, che sembra stia tornando a farsi sentire.
L'autore dell'attacco utilizza il toolkit Gophish nelle campagne di phishing
Una recente campagna sfrutta catene di infezione modulari basate su documenti dannosi (maldoc) o su codice HTML; in entrambi i casi è necessaria l’interazione della vittima per avviare il resto della catena di infezione. Nel corso dell’attacco, i ricercatori hanno inoltre individuato un RAT (trojan di accesso remoto) denominato “ PowerShell ”, finora non documentato.
Utilizzo del toolkit Gophish
Cisco Talos ha analizzato (si apre in una nuova scheda) i link dannosi contenuti in queste e-mail di phishing e ha individuato i domini di hosting controllati dagli autori dell’attacco, utilizzati per distribuire un documento Word dannoso Microsoft e un file HTML.
Il dominio rimanda a un indirizzo IP confermato come istanza EC2 di AWS . Lo stesso server, inoltre, viene risolto a ritroso in un altro dominio che distribuisce file HTML dannosi contenenti codice JavaScript incorporato. È stato accertato che l'autore dell'attacco ospitasse il toolkit Gophish su questo server, in esecuzione sulla porta 3333.
Una campagna multimodulare
La campagna presenta due vettori di attacco iniziali:
- Il primo vettore di attacco è un documento Word dannoso.
- Il secondo vettore di attacco prevede l'utilizzo di file HTML contenenti codice JavaScript dannoso incorporato.
Infezione basata su Maldoc per diffondere PowerRAT
In questa catena di infezione, la vittima deve aprire il documento Word dannoso e attivare il pulsante “Visualizza contenuto” presente nella barra superiore del documento. Questa azione consente l'esecuzione del programma macro VB (Visual Basic) dannoso.
L'attore ha inserito strategicamente nel documento un blocco di dati codificato con il codice base64 , ma ne ha impostato il colore del testo in modo che fosse identico a quello dello sfondo del documento. La macro inserirà un file .hta (file di applicazione HTML) dannoso e un loader PowerShell sul computer della vittima.
Cisco Talos ha inoltre individuato un nuovo RAT denominato “ PowerShell ” tra i payload eseguiti in questa catena di infezione. Lo strumento viene eseguito nella memoria della macchina ed è in grado di eseguire script e comandi aggiuntivi di PowerShell . Esegue operazioni di ricognizione, raccoglie informazioni, salva i dati in memoria e li esfiltra.
Infezione basata su HTML finalizzata alla diffusione di DCRAT
In questo esempio, l’autore dell’attacco utilizza file HTML contenenti codice JavaScript dannoso.
Quando la vittima fa clic su un link contenuto nell’e-mail di phishing, sul computer si apre un file HTML contenente codice dannoso. Contemporaneamente, viene eseguito il codice JavaScript, il che comporta il download di un archivio .zip.
La vittima deve decomprimere manualmente l'archivio ed eseguire il file eseguibile in esso contenuto, che si presenta come la legittima applicazione VK Messenger. Tale azione porterà, in ultima analisi, a un’infezione da DCRAT.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Entrambe le catene di infezione dell’attore richiedono un certo livello di interazione da parte dell’utente affinché il resto dell’attacco possa avere inizio con successo.
Un numero crescente di attacchi si basa sull’interazione dell’utente, come gli attacchi ClickFix , che richiedono agli utenti di incollare ed eseguire un comando dannoso.
È piuttosto sorprendente constatare che così tante campagne si basino sull’interazione degli utenti, poiché ciò lascia spazio alla possibilità che l’attacco non vada a buon fine. Questo è un esempio significativo di come la sensibilizzazione e la formazione degli utenti in materia di “ ” possano rivelarsi fondamentali.
Gli autori degli attacchi aggirano i SEG e i programmi antivirus
Cofense ha scoperto (si apre in una nuova scheda) che gli autori delle minacce stanno incorporando contenuti dannosi all’interno di file di dischi rigidi virtuali per eludere il rilevamento da parte dei sistemi di rilevamento delle minacce (SEG) e delle soluzioni antivirus.
Andamento delle campagne
Cofense ha rilevato che i file relativi ai dischi rigidi virtuali sono stati utilizzati come meccanismo di diffusione in diverse campagne nel corso del 2024. Le esche variano a seconda della campagna, ma tutte sembrano utilizzare un Remcos RAT , un e/o un XWorm RAT.
- maggio 2024 campagna: Questa campagna ha utilizzato e-mail di phishing contenenti un link che fingeva di rimandare a un documento fiscale pertinente, ma che in realtà scaricava un file di disco rigido virtuale. Dopo aver scaricato il file, la vittima avrebbe eseguito il payload principale che avrebbe installato il RAT Remcos.
- Campagna di giugno/luglio 2024 : In questa campagna, alcune e-mail di phishing fingevano di provenire da Canada Post e da altri servizi postali. Le e-mail inviavano archivi .zip allegati, spacciandoli per etichette di pacchi, ma in realtà contenevano un file di disco rigido virtuale. L'apertura del file del disco rigido virtuale indurrebbe la vittima ad aprire un file LNK dannoso che, in ultima analisi, installerebbe DotNETLoader e il RAT XWorm, i quali a loro volta installerebbero il RAT Remcos.
- agosto 2024 campagna: Nel mese di agosto, gli autori dell’attacco hanno preso di mira le vittime inviando loro archivi .zip allegati che, apparentemente, contenevano diversi curriculum vitae da esaminare, ma che in realtà contenevano lo stesso file di disco rigido virtuale e lo stesso file Visual Basic Script che avrebbero eseguito il RAT Remcos in memoria. Tale campagna includeva file autorun.inf, ovvero file di configurazione utilizzati dalle versioni precedenti di Windows per «definire le azioni che possono essere eseguite automaticamente al momento del montaggio del volume». In queste versioni precedenti di Windows (precedenti a Windows Vista), i file possono essere utilizzati in modo improprio per eseguire automaticamente malware.
Come aggirare i SEG
I file relativi ai dischi rigidi virtuali possono essere trasmessi tramite link a servizi di condivisione file legittimi per aggirare i SEG. Tuttavia, sembrano anche essere in grado di aggirare i SEG per conto proprio.
Molti SEG non sono in grado di eseguire la scansione dei file dei dischi rigidi virtuali. Alcuni dei programmi in grado di eseguire la scansione dei file relativi ai dischi rigidi virtuali lo fanno avvalendosi di soluzioni antivirus che potrebbero a loro volta avere difficoltà a rilevare contenuti dannosi presenti all’interno delle immagini dei dischi rigidi.
Nella suddetta campagna incentrata sui curriculum vitae, gli autori sono riusciti a eludere i sistemi SEG di Cisco, Proofpoint e FireEye.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Non è certo una sorpresa che gli autori delle minacce siano alla ricerca di nuovi modi per diffondere contenuti dannosi, in particolare tali da eludere molte soluzioni di sicurezza della posta elettronica.
Si tratta di una situazione simile a quella in cui gli autori delle minacce hanno iniziato a utilizzare i codici QR nelle e-mail di phishing — una tecnica nota come “quishing” — che è tuttora diffusa. Al momento, questi file relativi a dischi rigidi virtuali sembrano in grado di eludere alcune soluzioni, il che renderà probabilmente altri autori di minacce interessati a sfruttarli nei propri attacchi.
Per questo motivo, è probabile che i fornitori inizino a valutare modalità per garantire un rilevamento efficace di questi file dannosi, così come sta già avvenendo nel caso del phishing tramite codici QR.
[Legga anche: Per proteggersi dal vishing, agisca con accortezza] (si apre in una nuova scheda)
Il malware Bumblebee ritorna dopo un periodo di inattività
I ricercatori hanno individuato (si apre in una nuova scheda) il famigerato lo "" (caricatore del malware Bumblebee) in recenti attacchi, il che indica una possibile recrudescenza.
Queste osservazioni giungono a pochi mesi di distanza dal sequestro, da parte delle forze dell’ordine internazionali, di diversi server in tutto il mondo, che ha avuto ripercussioni su numerose operazioni di distribuzione di malware, tra cui Bumblebee.
Accesso iniziale
I ricercatori ritengono che questi ultimi attacchi abbiano inizio con un’e-mail di phishing che induce le vittime a scaricare un file .zip dannoso. Il file .zip contiene un file LNK che avvierà l'attacco e determinerà l'esecuzione del payload Bumblebee in memoria.
LNK e PowerShell
Come le precedenti campagne di Bumblebee, anche questa ultima campagna utilizza file LNK e PowerShell. In questa campagna, il file è stato utilizzato come downloader e aveva il compito di scaricare ed eseguire la fase successiva.
Una volta aperto il file LNK, verrà eseguito il comando PowerShell per scaricare il file MSI . Il file viene rinominato come %AppData%\y.msi e viene eseguito tramite msiexec.
Nuovo approccio " MSI "
Sembra che la famiglia di malware Bumblebee stia ora diffondendo malware tramite file di tipo “ MSI ”. Anche altre famiglie di malware di tipo “ ”, quali DarkGate e Latrodectus, hanno utilizzato file di tipo “ MSI ” per eseguire i propri payload.
Netskope ha esaminato (si apre in una nuova scheda) alcuni esempi camuffati da programmi di installazione di NVIDIA o Midjourney. È stato osservato che tutti caricavano ed eseguivano il payload in memoria senza salvarlo su disco.
Bumblebee sembra adottare un approccio discreto per evitare la creazione di altri processi. Netskope ha rilevato che il malware utilizza la tabella SelfReg per forzare l'esecuzione di una funzione di esportazione. Ciò funge da chiave per individuare il file da eseguire nella tabella, che, nel caso osservato da Netskope, era la DLL contenente il payload finale. La DLL si trova in un file CAB. Una volta avviata l’installazione di “ MSI ”, la DLL viene caricata lateralmente nel processo msiexec e il payload Bumblebee viene decompresso ed eseguito.
Carico utile del Bumblebee
I ricercatori hanno individuato alcune delle caratteristiche più note della famiglia di malware Bumblebee nel payload decompresso. Hanno stabilito che l'approccio all'estrazione della configurazione è identico a quello delle precedenti versioni di Bumblebee.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La scoperta da parte di Netskope di nuove campagne che coinvolgono il malware Bumblebee indica una possibile recrudescenza di questa famigerata famiglia di malware.
Sebbene le misure di contrasto adottate dalle forze dell’ordine rappresentino certamente un passo nella giusta direzione, non costituiscono una soluzione definitiva. “Bumblebee” ha riscosso un discreto successo al culmine della sua popolarità, il che rende questa potenziale rinascita un fenomeno da tenere d’occhio.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.