Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium apre la rassegna con un’analisi di un sofisticato attacco alla catena di approvvigionamento che coinvolge due pacchetti Python dannosi. Successivamente, il nostro team analizza PipeMagic, un framework modulare di backdoor camuffato da " App" per ChatGPT. Infine, concludiamo con una panoramica su Noodlophile Stealer, una campagna di malware in rapida evoluzione.
I ricercatori hanno scoperto pacchetti Python dannosi
Zscaler ThreatLabz ha scoperto un sofisticato attacco alla catena di approvvigionamento che coinvolgeva i pacchetti Python termncolor e colorinal, i quali distribuivano malware a più fasi tramite payload crittografati con AES in modalità CBC e iniezione di DLL.
L'incidente mette in luce il crescente rischio di dipendenze dannose negli ecosistemi open source e la necessità di un controllo rigoroso dei pacchetti.
Individuazione di pacchetti dannosi
Zscaler ha rilevato che il file termncolor importava un pacchetto aggiuntivo denominato colorinal.
Zscaler afferma che termncolor “funziona come un’utilità per la gestione dei colori in Python senza mostrare alcun comportamento dannoso”. La presenza della dipendenza colorinal , relativa a , ha destato sospetti.
Indagine sui file
Zscaler ha individuato un file denominato unicode.py all’interno del pacchetto colorinal . Sebbene a prima vista sembri uno script di utilità per la gestione dei colori, in realtà carica una DLL incorporata (terminate.dll) per distribuire il payload del malware. Il malware elimina sia il file terminate.dll sia il file unicode.py per ostacolarne il rilevamento e l'analisi.
Ecco come si svolge l'attacco:
- Prima fase: La prima fase viene attivata quando viene eseguito il file
terminate.dll. Una delle funzioni principali della DLL consiste nel decrittografare il payload incorporato, memorizzandolo nella directory%LOCALAPPDATA%\vcpacket.
Zscaler rileva che questa posizione viene utilizzata anche come area di transito per ulteriori file della fase successiva, tra cui due eseguibili utilizzati in seguito per il sideloading della DLL. Il malware garantisce la propria persistenza tramite la creazione di voci nel Registro di sistema e dimostra capacità multipiattaforma, con una variante specificamente progettata per Linux. - Seconda fase: La seconda fase ha inizio quando viene eseguito un file denominato
libcef.dll. Secondo Zscaler, si tratta di «il principale componente dannoso rilasciato nella prima fase». Questa DLL consente al malware di comunicare con il server di comando e controllo (C2). È stato osservato che il malware utilizza la piattaforma di messaggistica di gruppo Zulip per mascherare la propria attività come comunicazioni potenzialmente legittime. Il malware invia i dati raccolti al canale Zulip, quindi risolve le API ed esegue lo shellcode ricevuto dall’autore della minaccia.
Il malware risolve le API avvalendosi di un metodo di hashing personalizzato, probabilmente finalizzato a offuscare i nomi delle DLL e delle API nelle operazioni di basso livello del malware.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo attacco è un esempio della crescente frequenza e sofisticazione delle minacce alla catena di approvvigionamento, in particolare quelle che sfruttano in modo improprio ecosistemi affidabili come PyPI e altri repository.
Zscaler evidenzia tecniche quali i file binari legittimi utilizzati per il sideloading di DLL e i payload crittografati, che possono rendere più difficile il rilevamento e spesso richiedono un’analisi comportamentale e attività di ricerca delle minacce che vanno oltre i sistemi di rilevamento basati su firme.
Sebbene i pacchetti siano stati nel frattempo rimossi da PyPI, questi attacchi ci ricordano quanto sia fondamentale comprendere le dipendenze della propria organizzazione.
PipeMagic si presenta come una versione desktop di ChatGPT App
Microsoft ha inviato a un avviso riguardante PipeMagic, un framework modulare di backdoor utilizzato dall’attore malintenzionato Storm-2460, che si maschera da applicazione desktop ChatGPT App e sfrutta una vulnerabilità zero-day Windows per distribuire ransomware.
PipeMagic utilizza pipe denominate crittografate ed elenchi collegati per gestire i payload, l’esecuzione e la comunicazione C2 , il che lo rende estremamente elusivo e pericoloso.
Storm-2460 e PipeMagic
Secondo Microsoft, il gruppo di hacker Storm-2460 ha utilizzato PipeMagic in diverse occasioni, in particolare durante le attività preliminari agli attacchi che hanno coinvolto CVE-2025-29824.
È stato osservato che il gruppo scaricava un file da un sito web compromesso, ma legittimo, che ospita il malware dell’autore dell’attacco. Il file scaricato è un file MSBuild che si occupa di caricare ed eseguire PipeMagic in memoria. Una volta in esecuzione sul dispositivo, l’autore dell’attacco utilizza l’exploit CLFS (Common Log File System) di Windows per elevare i privilegi e lanciare il proprio ransomware.
PipeMagic si avvia come un dropper in memoria camuffato da applicazione desktop ChatGPT. A tal fine, l’autore del codice utilizza una versione modificata del progetto “ GitHub ”, che contiene PipeMagic come payload incorporato. PipeMagic comunica con il proprio C2 tramite TCP e riceve i moduli attraverso un pipe con nome.
Strutture di liste collegate interne
Microsoft sono state individuate quattro distinte strutture di liste a doppio collegamento utilizzate da PipeMagic per gestire i moduli in memoria:
- Una lista concatenata dei payload che memorizza i moduli dei payload.
- Un elenco collegato di comandi da eseguire che contiene i moduli di payload caricati con successo e quindi pronti per essere eseguiti.
- Una lista collegata di rete contenente moduli di rete per la comunicazione C2 .
- Una lista sconosciuta, la cui funzione non è chiara. Microsoft ritiene che «venga attivato dinamicamente dai payload caricati piuttosto che dalla logica di base della backdoor stessa».
Compilazione della lista collegata dei payload
Come già indicato, la lista concatenata dei payload viene utilizzata per gestire i moduli dei payload. Prima di inizializzare l'elenco, il malware genera un identificativo casuale per il bot dell'host e quindi crea un pipe denominato per la trasmissione del payload.
Questo canale bidirezionale consente operazioni di lettura e scrittura tra il malware stesso e il meccanismo di distribuzione del payload. Il malware rimane in ascolto sul pipe denominato per ricevere i moduli del payload, alloca memoria e li aggiunge alla lista collegata del payload.
Configurazione del malware
PipeMagic utilizza una configurazione strutturata per gestire le modalità di staging, gli indirizzi C2 e altri parametri operativi.
Dispone di una modalità di simulazione che riproduce C2 interazioni senza richiedere connessioni di rete attive. Il malware presenta diversi blocchi di configurazione che contengono elementi quali l'indirizzo C2 .
Modulo di rete
Per comunicare con il C2, il malware utilizza il modulo di rete presente nella lista collegata di rete. Esso popola gli elenchi con le note relative ai moduli, ciascuna delle quali contiene un modulo eseguibile per la comunicazione C2 .
Microsoft ha rilevato che i dati del modulo di rete erano incorporati direttamente nel file binario della backdoor. All’avvio, il modulo di rete esporterà e registrerà tre funzioni: una per inviare dati al C2, una per restituire un valore costante e una per impostare un segnale di arresto che ordina «sia alla backdoor che al modulo di rete di interrompere tutte le comunicazioni con il C2 ».
Raccolta di informazioni
Il malware raccoglie una vasta gamma di informazioni da inviare al proprio server C2 . Tra queste informazioni figurano l’ Computer Name (ID del processo), il nome NetBIOS del dominio, il nome di dominio dell’utente, l’indirizzo IP dell’host e la directory di lavoro corrente del malware.
Tutte le informazioni vengono trasmesse al C2. Quando il malware riceve una risposta dal C2, analizzerà i dati per interpretare il comando. Il comando indica alla backdoor quali azioni intraprendere successivamente, tra cui l'esecuzione delle sue funzionalità principali, la disattivazione del modulo di rete per interrompere la comunicazione e l'attivazione di tutti i moduli.
Funzionalità di backdoor
Uno dei comandi che Microsoft ritiene essere il più significativo è il codice 0x1. Questo file contiene i comandi e gli argomenti necessari a PipeMagic per eseguire le proprie operazioni tramite backdoor.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Storm-2460’s use of linked lists for payload management, execution, and communication demonstrates a high level of sophistication and discipline. È probabile che il gruppo disponga di risorse considerevoli.
PipeMagic si presenta come un’ App e desktop affidabile per ChatGPT. Ciò ribadisce il fatto che gli autori delle minacce ricorrono spesso a esche e temi legati a ciò che è attualmente di tendenza, in questo caso l’intelligenza artificiale, per aumentare le probabilità di successo delle infezioni.
Come sempre, il sito Microsoft offre utili indicazioni in materia di mitigazione e protezione , oltre ai rilevamenti di Defender.
Noodlophile Stealer prende di mira le aziende attraverso i social media
Un recente rapporto di Morphisec analizza “Noodlophile Stealer”, una campagna malware in rapida evoluzione che utilizza e-mail di phishing altamente mirate, multilingue e incentrate sul tema del copyright per compromettere le aziende con una forte presenza sui social media.
Secondo Morphisec, Noodlophile Stealer sfrutta tecniche avanzate di elusione e la distribuzione del payload tramite Telegram per sottrarre credenziali, dati finanziari e informazioni di sistema, preparandosi al contempo a funzionalità future quali il keylogging e la crittografia dei file.
La campagna Noodlophile è attiva da oltre un anno. La campagna ricorre a e-mail di spear-phishing che simulano avvisi di violazione del diritto d’autore e che contengono dettagli di ricognizione personalizzati, quali gli ID delle pagine Facebook e le informazioni sulla titolarità.
La campagna si rivolge principalmente alle organizzazioni negli Stati Uniti, in Europa, nei Paesi baltici e nella regione APAC. Le e-mail vengono inviate a dipendenti specifici o a indirizzi generici che in genere iniziano con info@ o support@.
L'esca
Questa campagna invia e-mail relative a violazioni del diritto d’autore riguardanti le pagine Facebook, con l’intento di abusare della fiducia che le organizzazioni potrebbero riporre in Facebook, in particolare quelle con una forte presenza sui social media.
Queste e-mail provengono spesso da account Gmail e combinano un senso di urgenza con minacce di natura legale per spingere la vittima a cliccare su link o file dannosi. Morphisec sottolinea che la campagna si avvale di contenuti multilingue, tra cui inglese, spagnolo, polacco e lettone.
Meccanismo di erogazione
Le precedenti campagne di Noodlophile utilizzavano piattaforme di intelligenza artificiale fasulle. Tuttavia, l’ultima versione distribuisce i payload tramite applicazioni legittime e firmate che presentano vulnerabilità al sideloading delle DLL.
I payload vengono trasmessi tramite link Dropbox occultati con reindirizzamenti TinyURL. Gli archivi contengono elementi camuffati, quali script batch denominati come file .docx o archivi SFX mascherati da file .png.
Fase intermedia
Dopo aver eseguito il sideloading della DLL, la campagna ricorre a una fase intermedia per “colmare il divario tra l’esecuzione iniziale e la distribuzione dello stealer finale”.
Le DLL precedentemente installate tramite sideload rinominano i file di archivio in modo da simulare i formati .pptx, .docx o .pdf, rivelando così i veri script BAT e gli interpreti Python. Gli script BAT vengono utilizzati per garantire la persistenza creando voci di registro e scaricando file aggiuntivi da server remoti.
Analisi del carico utile
Morphisec rileva che gli script sono stati sottoposti a un'offuscamento più intenso rispetto al passato. Anziché scaricare direttamente la fase successiva, “estrarranno un ‘ URL ’ dalla descrizione di un gruppo Telegram, consentendo l’esecuzione dinamica del payload”. Il programma di furto finale è ospitato su piattaforme gratuite per rendere più difficili il rilevamento e la rimozione.
Uno sguardo più approfondito all’evoluzione di Noodlophile Stealer
All’interno del codice sorgente di Noodlophile Stealer, Morphisec ha individuato alcune funzioni che rivelano come il malware si stia evolvendo rapidamente, nonché i suoi piani per l’introduzione di futuri miglioramenti.
Tra le funzioni non implementate che hanno rilevato figurano la cattura di schermate, la registrazione dei tasti, l’estrazione di file, il monitoraggio dei processi, il controllo delle estensioni del browser e molto altro ancora.
Attualmente, il malware raccoglie dati relativi al browser — quali credenziali, informazioni di sistema e dettagli sull’ambiente — ed è compatibile con Chrome, Brave, Edge, Opera e altri browser.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'autore dell'attacco è passato dal phishing generico a tecniche di ingegneria sociale personalizzate . Questo approccio richiede ulteriori ricognizioni per creare esche credibili.
La campagna utilizza inoltre contenuti di phishing localizzati in diverse lingue, il che suggerisce che l’autore dell’attacco potrebbe avvalersi di strumenti di intelligenza artificiale per la traduzione automatica e la personalizzazione. Nel loro insieme, queste tattiche possono certamente rendere il phishing più semplice e più efficace su scala più ampia.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per ulteriori approfondimenti, consulti le nostre recenti raccolte di informazioni sulle minacce informatiche .
