Nella rassegna settimanale, il team CTI dell’ Tanium a un’ampia campagna di malvertising che sta interessando dispositivi in tutto il mondo. Successivamente, analizza una nuova variante di malware per macOS denominata XCSSET. Infine, il CTI sta indagando su una campagna in corso che utilizza repository falsi di GitHub per diffondere malware.
Una nuova campagna di malvertising ha infettato oltre 1 milione di dispositivi
Microsoft sta lanciando l’allarme (si apre in una nuova scheda) in merito a una vasta campagna di malvertising che sta colpendo oltre un milione di dispositivi in tutto il mondo.
Secondo Microsoft, l’attacco opportunistico ha avuto origine da siti di streaming illegali in cui erano incorporati reindirizzatori di malvertising, che alla fine indirizzavano le vittime verso GitHub e altre piattaforme che ospitavano il malware di furto di informazioni (si apre in una nuova scheda).
Che cos’è Storm-0408?
Microsoft sta monitorando tale attività nell'ambito dell'operazione Storm-0408. Coinvolge diversi autori di minacce legati a malware per l’accesso remoto o per il furto di informazioni, in particolare quelli che si avvalgono di tecniche di phishing, SEO e malvertising per la propria diffusione.
Gli autori delle minacce utilizzano principalmente GitHub per ospitare i payload, mentre occasionalmente alcuni payload vengono ospitati su Discord e Dropbox. Microsoft L'attività è stata osservata per la prima volta nell' dicembre 2024".
Comprendere la catena di reindirizzamenti
Microsoft È stato rilevato che diversi host stavano scaricando payload di prima fase da repository dannosi di GitHub . Tali utenti sono stati reindirizzati al sito GitHub attraverso una serie di reindirizzamenti, probabilmente provenienti da siti di streaming illegali.
I reindirizzatori facevano passare il traffico attraverso alcuni server di reindirizzamento, ma alla fine conducevano le vittime a un sito fraudolento che le reindirizzava a GitHub. La campagna ha utilizzato diverse fasi di malware.
Come si presenta la catena di attacco?
Dopo che la vittima viene reindirizzata al sito GitHub , dove è ospitato il malware, quest’ultimo stabilirà un primo punto d’appoggio sul dispositivo dell’utente. Questo malware funge da dropper per il resto dei payload e delle fasi successive, che comprendono programmi di furto di informazioni, software RMM e vari script.
L’attività dell’attore porta a «un approccio modulare e in più fasi alla distribuzione, all’esecuzione e alla persistenza del payload», che comprende quattro fasi riassunte di seguito:
- Stabilire un punto d’appoggio sul sistema ospitante
Nella prima fase dell’attacco, un payload viene scaricato sul dispositivo della vittima da GitHub, consentendo all’autore dell’attacco di stabilire un punto d’appoggio su di esso. A partire dalla metà delgennaio 2025, tali payload sono stati firmati digitalmente con un nuovo certificato. Sono stati individuati dodici certificati, tutti successivamente revocati. - Rilevamento, raccolta ed esfiltrazione dei dati di sistema
Microsoft hanno rilevato payload di seconda fase diversi a seconda di quanto utilizzato durante la prima fase. Tuttavia, gli obiettivi della seconda fase rimangono gli stessi a prescindere dalla prima fase, che comprende l’individuazione, la raccolta e l’esfiltrazione. Il malware raccoglierà informazioni relative al dispositivo, quali la versione del sistema operativo, i comandi in esecuzione, il nome del dispositivo e il nome di dominio.
- PowerShell e .exe
Anche in questo caso, la terza fase varia a seconda di quanto accaduto nella seconda fase, e vengono rilasciati uno o più file eseguibili. I payload del secondo stadio eseguiranno i file eseguibili del terzo stadio per identificare i programmi in esecuzione, cercando in particolare parole chiave note per essere associate a software di sicurezza. Il file eseguibile genera inoltre un file interprete AutoIT v3 , che viene rinominato con estensione .com e successivamente eseguito.
In alcuni casi, il payload della seconda fase rilascerà uno script PowerShell . Questo PowerShell è in grado di scaricare file aggiuntivi (come NetSupport RAT) dal server C2, garantire la persistenza del malware ed esfiltrare informazioni verso i server C2 . - PowerShell
In alcuni casi, il file AutoIT precedentemente rinominato genererà uno script aggiuntivo denominato “ PowerShell ”. Questo script è offuscato e ha lo scopo di modificare Microsoft Defender (si apre in una nuova scheda) aggiungendo percorsi di esclusione in modo che determinate cartelle contenenti elementi dannosi non vengano sottoposte a scansione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La catena di reindirizzamenti in questo attacco è piuttosto sofisticata, poiché ha origine da un singolo reindirizzatore incorporato in un sito. L'attore ha inoltre dimostrato capacità avanzate nell'ambito della catena di infezione a più fasi e di vari payload. Detto questo, l’autore del reato segue anche la tendenza diffusa di abusare di servizi legittimi, come GitHub, per mimetizzarsi ulteriormente.
Il rapporto di Microsoft descrive in dettaglio i vari payload e gli stadi osservati in relazione a tale attività. Il rapporto riporta inoltre alcune azioni raccomandate dall’ , disponibili all’indirizzo (si apre in una nuova scheda),e , nonché query di ricerca e avvisi di Defender che potrebbero aiutare a identificare attività associate a questa minaccia.
La variante XCSSET ricorre all’offuscamento e a una persistenza potenziata
Microsoft Recentemente è stata individuata (si apre in una nuova scheda) una nuova variante di malware per macOS, denominata XCSSET, che sta infettando i progetti Xcode, un’applicazione di sviluppo utilizzata per creare app Apple e per macOS.
L'ultima variante presenta un livello maggiore di offuscamento, una maggiore persistenza e nuove strategie di infezione. In definitiva, esso è «caratterizzato dal suo approccio modulare e dai payload codificati».
Che cos’è il malware XCSSET?
Il malware XCSSET, individuato per la prima volta nel 2022, prende di mira i progetti Xcode durante il processo di compilazione. Rispetto alla sua versione iniziale, la variante XCSSET recentemente scoperta presenta una gestione degli errori migliorata e un maggiore ricorso a linguaggi di scripting, comandi UNIX (si apre in una nuova scheda) e binari legittimi. In particolare, nasconde i nomi dei propri moduli, il che complica l'analisi.
Microsoft riferisce inoltre che la nuova variante impiega tecniche di persistenza distinte e che, sebbene alcuni moduli sembrino essere attualmente in fase di sviluppo, il server C2 è attivo e sta scaricando moduli aggiuntivi.
Come funziona la nuova variante XCSSET?
La nuova variante consiste in una catena di infezione articolata in quattro fasi, in cui l'ultima fase prevede l'esecuzione di ulteriori sottomoduli:
- Nella prima fase, , viene eseguito un payload di tipo “shell” di Xcode quando la vittima compila un progetto Xcode infetto. Il payload decodificato effettuerà una richiesta curl al server C2 , ricevendo il payload della seconda fase.
- Nella seconda fase, il payload raccoglie informazioni sul sistema operativo e invia tali dati al server C2 prima di ricevere un altro payload.
- Nella terza fase, uno script shell verificherà che la versione di XProtect installata sul dispositivo sia inferiore alla 5287, interromperà i processi in esecuzione indicati e cercherà un file nascosto nella cartella home con estensione “.a”. Questa fase provvederà inoltre a eliminare i riferimenti esistenti a “l.App” e a crearne uno nuovo, a scaricare uno script aggiuntivo e a creare uno script AppleScript per eseguire lo script scaricato in precedenza. Infine, lo script attiverà la chiave “LSUIElement” per nascondere l’ App dal Dock, eseguendo l’applicazione in background e rimuovendo l’ App creato.
- Nella quarta fase, viene eseguito lo script AppleScript creato in precedenza App , il quale esegue una serie di comandi per estrarre la versione del sistema operativo, la versione di Safari, le impostazioni locali dell’utente, lo stato del firewall, lo stato del SIP e le informazioni relative alla CPU. Successivamente, richiamerà ripetutamente una funzione con diversi nomi di moduli offuscati.
L'importanza dei sottomoduli nella quarta fase
Lo script della quarta fase consente di scaricare vari sottomoduli in grado di svolgere le seguenti attività:
- Elenco delle estensioni del browser
- Scaricare altri moduli
- Furto di dati relativi ai portafogli digitali
- Garantire la persistenza in diversi modi
- Sottrazione di dati relativi alle note
- Integrazione nei progetti Xcode
Microsoft Sono stati inoltre individuati alcuni moduli relativi all’esfiltrazione di file e dati che si ritiene siano ancora in fase di sviluppo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Uno degli elementi più significativi emersi dal rapporto di Microsoft è che il server C2 di XCSSET sta scaricando moduli aggiuntivi. Pertanto, sebbene questa nuova variante non sia ancora molto diffusa, presenta moduli aggiuntivi in fase di sviluppo ed è attualmente attiva. I recenti sviluppi relativi a questa variante sono inoltre in linea con la tendenza generale che vede un'enfasi crescente sull' , come dimostrano i recenti attacchi rivolti a macOS (si apre in una nuova scheda).
Una campagna attualmente in corso utilizza repository falsi di GitHub per diffondere malware
Trend Micro ha individuato (si apre in una nuova scheda) una campagna ancora in corso che utilizza repository GitHub contraffatti per distribuire malware.
La campagna utilizza contenuti generati dall’intelligenza artificiale per far apparire legittimi i repository falsi; gli attacchi andati a buon fine hanno consentito agli autori delle minacce di sottrarre 2FA estensioni, credenziali di accesso e altro ancora.
In che modo gli hacker stanno sfruttando il sito GitHub?
È evidente che gli autori delle minacce continuano ad avvalersi di GitHub per diffondere malware. Tuttavia, in questa campagna l’attore non ospita malware su GitHub . Utilizzano invece l’intelligenza artificiale generativa per creare quelli che sembrano essere repository legittimi su GitHub.
Come ha inizio l’attacco?
Questa campagna, tuttora in corso, ha inizio con repository falsi di GitHub generati dall’intelligenza artificiale, realizzati in modo da sembrare strumenti e software legittimi. L'autore del reato ricorre quindi all'intelligenza artificiale per generare file README e documentazione, rafforzando così l'illusione di legittimità al fine di indurre le vittime a installare il contenuto.
Trend Micro afferma che i repository falsi si distinguono attualmente perché la formattazione del contenuto del file README è «fortemente influenzata dall’intelligenza artificiale, come dimostrano alcuni indizi rivelatori quali l’uso eccessivo di emoji, formulazioni innaturali, un logo collegato tramite hyperlink e contenuti strutturati».
Tali repository mirano a indurre le vittime a scaricare file .zip contenenti un payload relativo al malware SmartLoader.
In che modo SmartLoader utilizza Lumma Stealer?
Il malware SmartLoader diffonde Lumma Stealer e altri payload scaricando un file dal sito GitHub e salvandolo con il nome “search.exe”, che a sua volta consente l’esecuzione di Lumma Stealer.
È noto che SmartLoader gonfia i file durante il caricamento del payload, aumentando la dimensione del file a circa 1GB. Il malware eseguirà file aggiuntivi, creerà file dannosi nella cartella temporanea, eseguirà vari comandi per individuare software di sicurezza e effettuerà operazioni di debug del browser. Una volta completato questo processo, Lumma Stealer si collegherà al proprio server C2 per sottrarre i dati.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo è l’ennesimo esempio recente di come gli autori delle minacce ricorrano all’ GitHub e nell’ambito dei propri attacchi, ricordandoci che un rapporto di fiducia consolidato può essere, e spesso viene, sfruttato a fini illeciti.
L’aspetto interessante di questo attacco è l’uso, da parte dell’autore, di contenuti generati dall’intelligenza artificiale, soprattutto considerando che finora non abbiamo riscontrato molti esempi di utilizzo dell’intelligenza artificiale (si apre in una nuova scheda) in attacchi informatici. Trend Micro sottolinea che questo attacco è ancora in corso e che probabilmente continuerà a evolversi, poiché gli autori continuano a «avvalersi di strumenti avanzati per automatizzare e potenziare i propri attacchi».
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”: (si apre in una nuova scheda),e .
