Nella rassegna di questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium fornisce le ultime informazioni su Luna Moth, un gruppo dedito al furto di dati a scopo di estorsione che sta prendendo di mira attivamente istituzioni legali e finanziarie con sede negli Stati Uniti. Di seguito, il nostro team CTI analizza una campagna condotta dal gruppo di hacker Venom Spider, che prende di mira responsabili delle assunzioni e reclutatori tramite e-mail di spear-phishing. Infine, il team analizza l'ultima versione di un noto malware di tipo "infostealer" denominato StealC.
Luna Moth rappresenta una minaccia per le organizzazioni statunitensi
Secondo , una nuova ricerca condotta da EclecticIQ (si apre in una nuova scheda), Luna Moth sta intensificando le proprie campagne di phishing tramite richiamata e sta prendendo di mira attivamente le organizzazioni negli Stati Uniti.
Il gruppo sta ora attirando le vittime chiamando falsi numeri di assistenza telefonica e indurle con l'inganno a installare strumenti di monitoraggio e gestione remota (RMM).
Chi è Luna Moth?
Luna Moth (nota anche come Silent Ransom Group, UNC3753 e Storm-0252) è una sofisticata organizzazione criminale informatica specializzata nel furto di dati e nell’estorsione.
EclecticIQ ritiene che Luna Moth stia conducendo attacchi di phishing con richiamata a ritmo serrato sin dal marzo 2025. Il gruppo sta prendendo di mira in particolare studi legali e organizzazioni finanziarie in tutti gli Stati Uniti.
Le campagne relative a Luna Moth iniziano in genere con un’e-mail di phishing di tipo “ ” ( ), volta a indurre il destinatario a chiamare un numero di assistenza fasullo. Una volta in linea con la vittima, l’operatore si finge un tecnico informatico e le chiede di installare strumenti RMM legittimi.
EclecticIQ rileva che gli autori degli attacchi hanno registrato domini tramite GoDaddy che si spacciano per aziende statunitensi, una tattica che potenzia l’ aspetto di ingegneria sociale ricorrendo a una strategia nota come “typosquatting”.
Abuso dei servizi di GoDaddy
EclecticIQ ritiene che Luna Month abbia registrato almeno 37 domini presso GoDaddy a sostegno di questa ultima ondata di attacchi di phishing tramite richiamata. Tali domini si presentano come servizi di assistenza informatica o portali di supporto per vari studi legali e istituzioni finanziarie statunitensi. Il modulo “Contattaci” presente su questi siti richiederà al visitatore di inserire il proprio nome, l’indirizzo e-mail e un breve messaggio, consentendo all’autore dell’attacco di ottenere informazioni di ricognizione di base.
Luna Moth sta abusando dell’infrastruttura di GoDaddy e la sta utilizzando per inviare e-mail di conferma automatiche dall’indirizzo “confirmations@godaddy[.]com” a coloro che inseriscono i propri dati nel modulo di contatto. Quando la vittima clicca sul link contenuto in questa e-mail di conferma, l’autore dell’attacco sa che è il momento di effettuare la chiamata di follow-up alla vittima.
EclecticIQ ha inoltre rilevato che Luna Moth utilizza Reamaze, una piattaforma di chat in tempo reale impiegata da GoDaddy. Il gruppo lo sta utilizzando per integrare chatbot basati sull'intelligenza artificiale in alcune delle proprie pagine di phishing che simulano le interazioni con un servizio di assistenza informatica.
Luna Moth cerca spesso di creare un senso di urgenza affermando che un problema richiede un intervento immediato e tenta di indurre le vittime a installare strumenti RMM. Luna Moth utilizza inoltre strumenti RMM, tra cui Syncro, SuperOps, Zoho Assist, Atera, AnyDesk e Splashtop. Una volta installato uno di questi strumenti, l’autore dell’attacco può iniziare a sottrarre dati. Per l'esfiltrazione, utilizzano strumenti quali WinSCP e Rclone.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sulla base delle analisi di EclecticIQ, risulta evidente che Luna Moth stia sfruttando la tendenza dei falsi servizi di assistenza IT per portare avanti i propri attacchi di esfiltrazione dei dati.
Questo gruppo sta utilizzando la giusta combinazione di tecniche di ingegneria sociale e strumenti legittimi per non essere individuato. Si incoraggiano le organizzazioni a intensificare la formazione e la sensibilizzazione dei propri dipendenti riguardo a Luna Moth, al fine di prevenire eventuali attacchi.
Venom Spider si rivolge ai responsabili delle assunzioni e ai reclutatori
Arctic Wolf ha recentemente rilevato (si apre in una nuova scheda) una campagna condotta dal gruppo di hacker Venom Spider, che prende di mira responsabili delle assunzioni e reclutatori tramite e-mail di spear-phishing.
Il gruppo sta utilizzando servizi di messaggistica e piattaforme di ricerca lavoro legittimi per candidarsi a posizioni lavorative, inviando curriculum creati appositamente per diffondere malware. Stanno inoltre utilizzando una strategia nota come “polimorfismo del server” per distribuire i payload.
Il ragno velenoso: una breve panoramica
Venom Spider è un gruppo malintenzionato motivato da interessi economici che prende di mira le organizzazioni tramite annunci di lavoro pubblicati su siti di terze parti, quali LinkedIn.
Il gruppo è stato attivo negli ultimi anni. Tuttavia, di recente hanno intensificato i propri sforzi, prendendo di mira direttamente i reclutatori e i responsabili delle risorse umane con link di phishing manipolati che fingono di provenire da persone in cerca di lavoro.
Secondo Arctic Wolf, i link di phishing rimandano solitamente a siti dannosi che ospitano i curriculum dannosi. Venom Spider tenterà di diffondere il malware “More_eggs” nell’ambito di questa catena di infezione.
Comprendere il vettore di attacco di Venom Spider
L'attacco ha inizio con un'e-mail di spear-phishing inviata al responsabile delle assunzioni o al responsabile delle risorse umane. La presente e-mail contiene un link per scaricare il curriculum del candidato. Sul sito, il visitatore è tenuto a spuntare la casella CAPTCHA prima di scaricare il curriculum. Il curriculum viene scaricato come file ZIP contenente un file LNK dannoso e un file immagine. Il file LNK costituisce il carico utile del primo stadio.
Arctic Wolf riferisce che l’infrastruttura dell’attore supporta il polimorfismo dei server, il che significa che per ogni download viene generato un nuovo file LNK al fine di modificare l’offuscamento del codice e la dimensione del file.
Il file LNK, in definitiva, esegue un codice che avvia WordPad come diversivo per la vittima, facendogli credere che il curriculum promesso venga aperto, mentre avvia segretamente l’utilità “ Windows” %windir%\system32\ie4uinit.exe per eseguire i comandi contenuti nel file ieuinit.inf, che a sua volta contiene un URL che reindirizza a una pagina HTML con un payload JavaScript fortemente offuscato.
Come funziona la libreria More_eggs_Dropper?
Al termine della fase precedente, il codice JavaScript crea una libreria eseguibile che Arctic Wolf definisce “More_eggs_Dropper”. La libreria utilizza un codice che genera codice JavaScript in modo polimorfico. La sua esecuzione è ritardata nel tempo, il che rende più difficile l’analisi da parte delle sandbox. Inoltre, una volta eseguito, crea diversi file, tra cui:
- Uno dei file è un eseguibile legittimo “msxsl.exe” di Windows che esegue file XML contenenti codice JavaScript — una tecnica che, come sottolinea Arctic Wolf, è stata utilizzata in passato da Venom Spider.
- Un altro file crea il file “More_eggs_dropper” ed eseguirà il payload principale.
Una volta eseguiti questi script, il dropper viene rimosso. Il dropper genererà un nuovo payload JavaScript ogni volta che verrà eseguito ed è fortemente offuscato.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Venom Spider è uno dei numerosi attori che prendono di mira i reclutatori e i dipartimenti delle risorse umane. Molti di questi gruppi utilizzano metodi di diffusione simili, sia tramite spear phishing sia tramite attività di sensibilizzazione su piattaforme come LinkedIn, il che rende più facile informare queste persone su quali aspetti tenere in considerazione.
La ricerca condotta da Arctic Wolf ha inoltre rivelato un «investimento costante nello sviluppo e nella manutenzione» della backdoor caratteristica del gruppo, il che indica che quest’ultimo attribuisce grande importanza sia all’ingegneria sociale che al malware.
La nuova versione di StealC V2 include miglioramenti in termini di occultamento e strumenti per il furto di dati
È stata recentemente rilasciata una nuova versione del noto programma di furto di dati StealC. Zscaler ha analizzato (si apre in una nuova scheda) l’ultima versione, evidenziando diversi aggiornamenti chiave, tra cui un protocollo di comunicazione C2 semplificato, l’uso della crittografia RC4 , opzioni avanzate per la distribuzione del payload, un generatore integrato e funzionalità migliorate per il furto di dati.
Informazioni su StealC V2
StealC V2 è stato rilasciato per la prima volta in “ marzo 2025”. Utilizza un protocollo di rete basato su JSON , con crittografia RC4 nelle sue ultime varianti, e ora supporta ulteriori opzioni di caricamento del malware per distribuire pacchetti MSI e script PowerShell .
La nuova versione include inoltre un pannello di controllo riprogettato, la possibilità di acquisire schermate su più monitor, uno strumento unificato per il recupero dei file e funzionalità di attacco brute force lato server.
Al primo avvio, questa versione decifrerà le stringhe importanti utilizzando una chiave RC4 hardcoded.
Verificherà inoltre la data di scadenza e, se necessario, si chiuderà automaticamente. Verificherà inoltre che non vi siano istanze duplicate di se stesso in esecuzione.
Principali differenze tra le versioni di StealC
Sebbene StealC V2 sia stato lanciato nel marzo 2025, da allora sono state introdotte diverse nuove versioni. Al momento della pubblicazione, la versione più recente è la 2,2,4.
StealC V2 è ora in grado di scaricare ed eseguire tre tipi di payload, tra cui file .exe, pacchetti MSI e script PowerShell .
Per quanto riguarda il protocollo di comunicazione di rete, StealC V2 utilizza richieste e risposte basate sul protocollo JSON per la comunicazione C2 . Il server C2 è inoltre in grado di accettare quattro tipi di operazioni, tra cui “create”, “upload”, “done” e “loader”, dove “create” rappresenta sempre la prima richiesta che registra l’infezione. La risposta inviata dal server C2 definirà il comportamento e le attività del malware. Il pannello di controllo riprogettato è ora dotato anche di un generatore integrato.
L’analisi di Zscaler ha inoltre individuato alcuni aspetti significativi relativi all’infrastruttura di StealC V2’s rispetto alle versioni precedenti di StealC:
- In primo luogo, il componente di compilazione richiede un aggiornamento di versione contenuto in un archivio ZIP che deve essere caricato, in modo che non sia possibile utilizzare versioni precedenti.
- È emerso inoltre che il pannello di controllo supporta l’integrazione con i bot di Telegram, la distribuzione di payload basata su regole, il caricamento di file, il blocco basato su indirizzi IP e altre funzionalità.
- Inoltre, il generatore è integrato nel pannello. Ciò consente all’operatore di creare facilmente regole per il caricatore e la benna.
- Queste nuove versioni includono una maggiore offuscamento, la crittografia RC4 , la risoluzione di tutte le funzioni API in fase di esecuzione, un download ottimizzato dei payload e altro ancora.
- L'ultima versione include inoltre una routine di autoeliminazione.
È ancora in fase di sviluppo e vengono rilasciati regolarmente nuovi aggiornamenti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'ultima versione di StealC presenta diversi miglioramenti. Non solo questa ultima versione introduce ulteriori funzionalità di occultamento, ma si sta evolvendo rapidamente, con nuove versioni rilasciate a partire da marzo.
Zscaler sottolinea che StealC viene spesso utilizzato in combinazione con altre famiglie di malware, il che lo rende ancora più pericoloso.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
