Questa settimana, CTI esamina una nuova campagna di malware di tipo “ Linux ” in grado di eludere il rilevamento antivirus. Successivamente, CTI illustra in che modo i criminali informatici stiano utilizzando la tattica ClickFix e pagine CAPTCHA contraffatte per distribuire la backdoor CORNFLAKE.V3 . Infine, CTI sta indagando su una nuova campagna di PRC-Nexus che dirotta il traffico web e diffonde malware tramite pagine fasulle di aggiornamento del browser.
1. Il nuovo malware “ Linux ” elude il rilevamento antivirus
Una recente indagine condotta da Trellix ha portato alla luce una campagna malware furtiva denominata “ ” ( Linux ) ( ), che utilizza nomi di file dannosi per eseguire codice senza ricorrere a file tradizionali, aggirando così la maggior parte dei metodi di rilevamento.
Il payload finale, una backdoor senza file denominata VShell, viene eseguita interamente in memoria e garantisce agli autori degli attacchi pieno accesso remoto, mascherandosi da processo di sistema legittimo.
Catena di contagio
L'infezione ha inizio con un'e-mail di spam contenente un allegato in formato RAR. L'archivio RAR contiene un file il cui nome include codice compatibile con Bash in grado di eseguire comandi quando viene interpretato dalla shell. Il nome del file rimane inattivo finché uno script o un comando non lo valuta o lo espande.
- Vettore di infezione iniziale: L’e-mail di spam iniziale contiene un invito a partecipare a un sondaggio su un prodotto di bellezza, accompagnato da un compenso in denaro per coloro che lo completano.
Trellix sottolinea che l’e-mail non invita l’utente ad aprire l’archivio allegato, yy.rar. L'autore dell'attacco spera invece che il destinatario possa scambiare l'allegato per qualcosa di attinente al sondaggio. Il file estratto presenta un nome appositamente modificato che innesca un comportamento dannoso senza che l'utente intervenga.
- Fase 1 – nome del file utilizzato come arma all’interno di inside.rar: Trellix sottolinea che questo file estratto presenta un nome insolito e che “non è possibile creare manualmente un file con questo nome nella shell, poiché i suoi caratteri speciali vengono interpretati come sintassi di comando”. Trellix ritiene che il nome del file possa essere stato creato utilizzando un linguaggio come Python. È inoltre possibile che sia stato inserito utilizzando uno strumento o uno script in grado di aggirare la convalida degli input della shell. Il nome del file decodificato stabilirà una connessione al server C2 e scaricherà/eseguirà uno script per la seconda fase.
- Fase 2 – Script di download: Lo script di download verificherà la presenza di directory scrivibili in cui poter salvare ed eseguire i file, Detect le architetture di sistema, preleverà il payload binario appropriato in base a tale architettura ed eseguirà un’esecuzione silenziosa tramite nohup.
- Payload dello Stage 3 – caricatore in memoria per il malware VShell: Dopo che lo script dello Stage 2 ha determinato l’architettura del sistema e ha recuperato il file binario corrispondente, viene avviata la fase restante dell’infezione. Il file binario stabilirà una comunicazione C2 inviando una richiesta HTTP GET al server, riceverà il payload crittografato con XOR, quindi lo decrittograferà ed eseguirà dalla memoria. Trellix rileva che il processo viene rinominato in memoria in modo da apparire come un thread legittimo del kernel di Linux . Inoltre, garantirà che non vi siano altre istanze in esecuzione, al fine di evitare una nuova infezione.
- Payload finale – Malware VShell: Il malware VShell viene solitamente utilizzato da gruppi APT cinesi. Tra le sue caratteristiche principali figurano l’accesso tramite reverse shell, la possibilità di eseguire operazioni sui file, la gestione dei processi, il port forwarding e altro ancora.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È probabile che gli autori dell’attacco alla base di questa campagna dispongano di un elevato livello di sofisticazione, date le loro capacità avanzate quali la distribuzione di payload sensibili all’architettura, l’esecuzione in memoria e le ingegnose tattiche di offuscamento.
Come sottolinea Trellix, questa campagna mette in luce una pericolosa evoluzione nelle modalità di diffusione del malwar Linux . Ciò è particolarmente importante, dato che gli autori delle minacce prendono sempre più di mira i sistemi " Linux ".
2. Il UNC5518 installa CORNFLAKE.V3 utilizzando ClickFix e pagine CAPTCHA contraffatte
Secondo Mandiant , l’autore dell’attacco denominato “ UNC5518 ” sta utilizzando la tecnica ClickFix per compromettere siti web, visualizzare pagine di verifica CAPTCHA false e distribuire script di download, consentendo ad altri autori di attacchi di installare la backdoor CORNFLAKE.V3 . È stato osservato che entrambi gli attori UNC5774 e UNC4108 hanno sfruttato tale accesso.
Che cos’è CORNFLAKE.V3?
CORNFLAKE.V3 è un malware furtivo e persistente, scritto in JavaScript o PHP, che esegue payload remoti e utilizza i tunnel di Cloudflare per eludere il rilevamento. Il malware scaricherà i payload tramite HTTP, tra cui comandi shell, file eseguibili e DLL.
Mandiant afferma che CORNFLAKE.V3 è semplicemente una versione aggiornata di CORNFLAKE.V2, mentre il malware CORNFLAKE originale presenta le differenze maggiori rispetto a queste varianti più recenti.
Il malware verificherà che sia in esecuzione una sola istanza dello script alla volta prima di iniziare a raccogliere informazioni sul sistema. Successivamente, imposta i C2 indirizzi IP dei server ed entra in una funzione di ciclo. Per garantire la propria persistenza, il malware crea una chiave di registro "Run" denominata ChromeUpdater.
Mandiant si è osservato che il malware eseguiva diversi tipi di payload provenienti dal proprio server C2 . Uno di questi payload era uno script batch ricco di comandi di ricognizione, in particolare comandi relativi ad Active Directory. Determinerà se il computer host fa parte di un dominio o meno e, in base a ciò, effettuerà diverse operazioni di ricognizione.
Inoltre, Mandiant ha individuato uno script batch che tenta di sottrarre credenziali tramite il “kerberoasting”, un attacco che prende di mira l’Active Directory di Windows sfruttando in modo improprio il protocollo di autenticazione Kerberos.
Variante PHP e payload eseguiti
Mandiant È stata inoltre rilevata una variante PHP di CORNFLAKE.V3 simile alle versioni precedenti. Questa particolare variante viene rilasciata da uno script in memoria, che utilizza anch’esso la tecnica di tipo ClickFix.
Questo script scarica il pacchetto PHP, lo salva su disco e lo estrae. Tra i payload eseguiti figurano uno destinato alla ricognizione di Active Directory e un ulteriore backdoor denominato WINDYTWIST.SEA.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’analisi di Mandiant evidenzia la crescente sofisticazione e l’accelerazione dei modelli di “accesso come servizio”. Il ruolo di UNC5518’s in qualità di intermediario di accesso iniziale dimostra come gli ecosistemi dei criminali informatici stiano diventando sempre più modulari ed efficienti, consentendo agli attori di collaborare e ampliare le proprie operazioni quasi come se fossero organizzazioni legittime. Tale attività ricorre inoltre a tattiche diffuse quali ClickFix e i CAPTCHA falsi, oltre a sfruttare in modo improprio infrastrutture legittime.
Il rapporto di Mandiant include criteri di ricerca che potrebbero rivelarsi utili per individuare eventuali compromissioni correlate all’interno del Suo ambiente.
3. La campagna PRC-Nexus dirotta il traffico web
Nel mese di marzo, il Threat Intelligence Group (GTIG) di Google ha individuato un gruppo malintenzionato denominato “ UNC6384 ”, collegato alla Cina, impegnato in una sofisticata campagna di spionaggio informatico di tipo “” rivolta a diplomatici.
UNC6384 ha dirottato il traffico web e ha diffuso malware tramite pagine fasulle di aggiornamento del browser. L'operazione ha fatto ricorso a tecniche quali attacchi di tipo "adversary-in-the-middle" (AitM), malware firmato e side-loading di DLL per eludere il rilevamento e mantenere un accesso persistente.
Panoramica della campagna
Google è emerso che tutti i payload dannosi di questa campagna erano camuffati da aggiornamenti software o plugin e distribuiti tramite l’infrastruttura UNC6384 , ricorrendo all’AitM e all’ingegneria sociale.
Il browser web della vittima verificherà se la connessione a Internet avviene tramite un captive portal; un AitM reindirizzerà il browser verso un sito controllato dall’autore dell’attacco e il malware verrà distribuito in diverse fasi.
Diffusione di malware
Google ha identificato l'autore dell'attacco che, sfruttando un dirottamento del captive portal, ha diffuso malware camuffato da plug-in Adobe. Come spiega Google , un captive portal è «una configurazione di rete che reindirizza gli utenti verso una pagina web specifica, solitamente una pagina di accesso o una pagina iniziale, prima di concedere l’accesso a Internet».
Google osserva che tutti i browser web dispongono di questa funzionalità. La loro indagine ha rivelato la presenza di catene di reindirizzamenti provenienti dal dominio gstatic di Google che conducevano al sito web dell’autore dell’attacco, finalizzato alla diffusione di malware.
Aggiornamento fasullo di un plugin
La vittima viene reindirizzata e indotta a credere di aver bisogno di un aggiornamento software, scaricando così il malware che si presenta come un aggiornamento di un plugin. La pagina web stessa appare alla vittima come un sito legittimo di aggiornamento software, utilizza una connessione HTTP con un certificato TLS valido e il payload stesso è firmato digitalmente. Se la vittima clicca per installare l’aggiornamento, riceverà istruzioni su come eseguire il download in modo tale da aggirare le misure di protezion Windows .
Analisi del malware
- Downloader STATICPLUGIN: Il file AdobePlugins.exe scaricato in precedenza costituisce il downloader di malware di primo livello, firmato con un certificato valido. Google Si è accertato che il codice binario è stato firmato il 9 maggio 2025 e non è più attivo. Questo programma di download STATICPLUGIN utilizza un TForm personalizzato per simulare un programma di installazione di Visual C++ 2013 di Microsoft. Dopo aver installato i file aggiuntivi, CANONSTAGER viene eseguito tramite caricamento laterale della DLL.
- Programma di avvio CANONSTAGER: Lo scopo di CANONSTAGER è quello di eseguire il payload crittografato. Questo payload è denominato SOGU.SEC ed è una variante di SOGU. Il programma di avvio utilizza un algoritmo di hashing personalizzato e la memoria locale del thread, nasconde il proprio codice all’interno di una procedura di finestra personalizzata e distribuisce SOGU.SEC.
- Backdoor SOGU.SEC: È noto che il malware SOGU viene utilizzato da UNC6384. È in grado di raccogliere informazioni di sistema, caricare e scaricare file dal proprio C2 ed eseguire una shell di comando remota.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Per condurre un’attività di spionaggio efficace non sono sempre necessari exploit zero-day. Come dimostra questa campagna, gli autori delle minacce ricorrono anche a strategie quali l’ingegneria sociale, il dirottamento del traffico e le tecniche “living-off-the-land” per aggirare le difese e raggiungere i propri obiettivi.
Questa catena di attacchi, che si basa in larga misura sul comportamento del browser e su un reindirizzamento tramite captive portal, solleva ulteriori preoccupazioni per i destinatari, in particolare per coloro che operano in ambienti meno sicuri, come gli hotel o le conferenze.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
