Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium'analizza in che modo gli autori delle minacce stanno sfruttando i record DNS dimenticati o orfani. A seguire, il nostro team CTI mette in evidenza una campagna di malware particolarmente subdola che utilizza tecniche di esecuzione senza file per distribuire il RAT Remcos. Infine, il team conclude con una panoramica su una nuova campagna di phishing che utilizza un pacchetto npm (Node Package Manager) dannoso come parte del proprio meccanismo di diffusione.
Hazy Hawk utilizza i record “ DNS ” per prendere di mira i domini
Un recente rapporto di Infoblox intitolato “ ” (si apre in una nuova scheda) evidenzia come i record DNS obsoleti — in particolare quelli che rimandano a infrastrutture cloud dismesse — possano essere dirottati dagli aggressori e utilizzati per scopi malevoli. Un attore malintenzionato, Hazy Hawk, è un attore malintenzionato esperto nell’uso di DNS, noto proprio per questo tipo di attività.
Infoblox è venuta a conoscenza di questo attore all’inizio del 2025 , dopo che questi aveva assunto il controllo di alcuni sottodomini appartenenti ai Centri statunitensi per il controllo e la prevenzione delle malattie (CDC). Poiché tali lacune nell’ DNS e sono difficili da individuare, i ricercatori ritengono che Hazy Hawk abbia probabilmente accesso a un servizio di DNS passivo di ampia portata.
Finora è stato osservato che l’autore dell’attacco ha preso di mira decine di organizzazioni.
In che modo Hazy Hawk individua le risorse cloud
Hazy Hawk è specializzato nel dirottamento di risorse cloud abbandonate, quali i bucket di AWS S3 e gli endpoint di Azure , sfruttando i record DNS dimenticati. Come sottolinea Infoblox, l’esecuzione di questo tipo di attacchi richiede un livello di sofisticazione tecnica avanzato e non comune.
Hazy Hawk ha acquisito una notevole abilità nell’individuare le lacune nei registri dell’ DNS , nel dirottare domini e nel riutilizzarli per ospitare URL dannosi. Per eludere il rilevamento, l’autore dell’attacco dirotterà i sottodomini di domini popolari e affidabili, offuscherà gli URL, utilizzerà contenuti provenienti da altri siti per la propria pagina e reindirizzerà le vittime attraverso almeno un URL che utilizza un servizio ben noto.
Le vittime di questo attacco vengono spesso indirizzate verso un sistema di distribuzione del traffico (TDS) che deciderà dove devono essere reindirizzate.
Infoblox rileva che la pagina di destinazione spesso non corrisponde all’esca iniziale. Ad esempio, molti degli URL utilizzati dall’autore dell’attacco sfruttano il sottodominio “cdc.gov”, precedentemente dirottato, e reindirizzano la vittima attraverso una pagina Blogspot, seguita da una pagina “.xyz”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come sottolinea Infoblox, Hazy Hawk ci ricorda che «poiché l’ DNS e non è generalmente riconosciuto come vettore di minaccia, questo tipo di attacchi può passare inosservato per lunghi periodi di tempo».
Questo attore sta prendendo di mira attivamente organizzazioni di alto profilo e non ha bisogno di violare il perimetro di sicurezza per raggiungere il proprio obiettivo.
Questo tipo di attacco è difficile da individuare, a meno che non si monitori attivamente l’igien DNS a.
Una nuova campagna di malware diffonde il RAT Remcos senza file
Un recente post pubblicato su Qualys (si apre in una nuova scheda) mette in luce una campagna malware discreta che utilizza tecniche di esecuzione senza file per distribuire Remcos RAT, un potente trojan di accesso remoto (RAT).
L'attacco sfrutta PowerShell e Windows- strumenti nativi quali “mshta.exe” per eludere le tradizionali difese endpoint .
In che modo il malware penetra nel sistema e vi rimane
Secondo Qualys, l’attacco ha inizio con un file denominato “ “new-tax3,11.zip”. All’interno degli archivi ZIP sono incorporati file LNK dannosi, che eseguono un file HTA (applicazione HTML) offuscato contenente uno script VBS.
Qualys ha analizzato il file “ “new-tax311.zip” e ha riscontrato che l’esecuzione iniziale avviene tramite MSHTA per eseguire un file HTA offuscato. Questo file HTA contiene codice VBScript offuscato in grado di eludere Windows Defender.
Il codice scarica inoltre gli script disponibili all'indirizzo PowerShell per configurare PowerShell in modo da aggirare la politica di esecuzione, eseguire il programma in modalità nascosta e creare una chiave di registro a garanzia della persistenza. Il file HTA scaricherà inoltre diversi payload nella directory pubblica dell’utente, uno dei quali verrà eseguito all’avvio.
In che modo lo script distribuisce il RAT Remcos
Lo script “ PowerShell, “24.ps1” è offuscato e contiene numerose funzioni e variabili prive di significato. Utilizza una manipolazione personalizzata delle stringhe per decodificare due blob codificati in formato base64 . Lo script richiama inoltre Win32 API per allocare memoria e per inserire ed eseguire codice in memoria.
Si ritiene che uno dei blob decodificati sia il file binario RAT di Remcos. È stato compilato utilizzando Visual Studio C++ 8 e opera tramite diversi moduli per garantire la persistenza, raccogliere informazioni sul sistema, aggirare l’UAC e connettersi al proprio dominio C2 .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Molte delle tattiche, tecniche e procedure (TTP) utilizzate in questo attacco sono tipiche di attori a livello di Stato-nazione e di minacce persistenti avanzate (APT), il che conferisce maggiore rilevanza alla campagna. La campagna ricorre a numerose tecniche diffuse, tra cui malware senza file, LOLBins e RAT generici.
Si tratta dell’ennesima campagna che privilegia l’elusione dei sistemi di difesa, un processo che viene sempre più automatizzato dagli autori delle minacce.
Gli autori delle minacce combinano l’AES e pacchetti npm dannosi in una campagna di phishing
I ricercatori di Fortra (si apre in una nuova scheda) hanno scoperto una nuova campagna di phishing che utilizza un pacchetto npm dannoso come parte del proprio meccanismo di diffusione. Il pacchetto, distribuito tramite il registro npm, era stato progettato per sottrarre credenziali imitando moduli legittimi.
Come funziona un attacco di phishing?
Fortra ha illustrato nel dettaglio un attacco di phishing di tipo “ ” che ha inizio con un’e-mail contenente un allegato .HTM dannoso. L'e-mail è stata recapitata con successo nella posta in arrivo, probabilmente perché il file sembra innocuo. Il file contiene codice crittografato che ha richiesto un’ulteriore analisi e che, come è emerso, rimanda a JavaScript.
Come sottolinea Fortra, il file JavaScript faceva «parte di un pacchetto npm dannoso ospitato sotto le spoglie di una tipica libreria open source». Il pacchetto avrebbe caricato e distribuito uno script di secondo livello incaricato di creare link di phishing personalizzati utilizzando l’indirizzo e-mail della vittima, reindirizzandola verso una pagina di accesso contraffatta del corso “ Microsoft 365 ”.
Cosa contiene l'e-mail di phishing?
Come già segnalato, l’e-mail di phishing contiene un allegato dannoso in formato .HTM. A seguito di ulteriori indagini, Fortra ha scoperto che il file utilizza la crittografia AES per nascondere una stringa memorizzata all’interno di una determinata variabile.
La crittografia AES non è molto diffusa nelle campagne di phishing, poiché gli autori ricorrono spesso a metodi di offuscamento meno sofisticati. Dopo aver decriptato il contenuto, hanno scoperto che rimandava a un file URL ospitato su “jsDelivr”, un CDN utilizzato per la distribuzione, ad esempio, di pacchetti npm.
Analisi del pacchetto npm dannoso
Quando Fortra si è recata sul posto per indagare, il pacchetto npm era già stato bloccato. Tuttavia, è stato comunque possibile installare il pacchetto tramite Node.js e si è scoperto che una delle cartelle scaricate, denominata MOMENTUM, contiene un file denominato “NOW.API.JS”, che costituisce la fase successiva dell’attacco. Questo file carica ulteriori contenuti dannosi.
In che modo le vittime vengono reindirizzate verso siti di phishing
Fortra ha individuato una serie di reindirizzamenti dannosi URL . Il codice JavaScript menzionato in precedenza faceva riferimento a un sito dannoso noto, URL. Hanno scoperto che il sito di reindirizzamento restituito dall’API era offline ed era stato segnalato da Cloudflare come sito di phishing. Fortra ha individuato una versione più recente del pacchetto che conteneva URL aggiornati, uno dei quali rimanda a una pagina di phishing attiva. Questo sito reindirizzerebbe la vittima verso una pagina di destinazione al fine di sottrarle le credenziali.
Al momento dell’indagine condotta da Fortra, il sito di phishing in questione era offline. È stato reperito un precedente rapporto di “Any.Run” che mostra uno screenshot dell’aspetto della pagina quando era ancora online. Il sito è una tipica pagina di accesso falsa del tipo “ Microsoft 365 ”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come sottolinea Fortra, le diverse tecniche utilizzate in questo attacco non sono uniche. Ma quando vengono combinati, costituiscono una minaccia più efficace. Oggigiorno è prassi comune che gli attori combinino diverse TTP per aumentare l’efficacia delle loro campagne, e questa non fa eccezione.
L’analisi di Fortra ci ricorda inoltre che il furto delle credenziali è, e rimarrà, uno degli obiettivi principali degli autori delle minacce. Per questo motivo, è fondamentale stare un passo avanti rispetto a queste TTP e tenersi aggiornati sulle ultime esche e strategie.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
