Nella rassegna di questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium esamina una minaccia informatica rappresentata da un attore identificato con il nome di Marbled Dust. Di seguito, il nostro team CTI mette in evidenza una sofisticata campagna di phishing che sfrutta il malware Horabot. Infine, il team analizza un recente cambiamento nel comportamento di attacco da parte dell’attore malintenzionato TA406, sostenuto dallo Stato nordcoreano.
Marbled Dust sfrutta una vulnerabilità zero-day presente in Output Messenger
Microsoft Recentemente sono stati resi noti (si apre in una nuova scheda) i dettagli relativi a una minaccia informatica sferrata da un attore malintenzionato identificato come Marbled Dust.
Secondo Microsoft, l’attore ha sfruttato una vulnerabilità zero-day denominata “ ” (CVE-2025-27920) nell’applicazione Output Messenger. Finora, questa vulnerabilità è stata sfruttata principalmente ai danni di account di utenti in Iraq a fini di spionaggio regionale.
Cosa occorre sapere sulla polvere marmorizzata
Marbled Dust è un attore malintenzionato specializzato in attività di spionaggio, legato alla Turchia, noto per prendere di mira organizzazioni in Europa e in Medio Oriente.
Il gruppo ha utilizzato tattiche quali il dirottamento dell’ DNS e e malware avanzato, prendendo di mira enti governativi, gruppi politici curdi, società di telecomunicazioni, ISP, fornitori di servizi IT e organizzazioni operanti nel settore dei media e dell’intrattenimento.
Di recente, Marbled Dust ha iniziato a sfruttare vulnerabilità zero-day per diffondere file dannosi ed esfiltrare dati dagli account presi di mira.
In cosa consiste la vulnerabilità zero-day di Output Messenger?
L'applicazione Output Messenger Server Manager presenta una vulnerabilità di attraversamento delle directory che consente a un utente non autenticato di caricare file nella directory di avvio.
Come sottolinea Microsoft , una volta che l’autore dell’attacco ottiene l’accesso al server, può «sfruttare l’architettura di sistema di Output Messenger per ottenere accesso indiscriminato alle comunicazioni di ogni utente, sottrarre dati sensibili e spacciarsi per gli utenti, il che potrebbe causare interruzioni operative, accessi non autorizzati ai sistemi interni e la compromissione su larga scala delle credenziali». La vulnerabilità riguarda le versioni precedenti alla 2,0,63.
Microsoft ha individuato la vulnerabilità zero-day e ne ha dato comunicazione a Srimax, lo sviluppatore di Output Messenger, che ha successivamente rilasciato un aggiornamento del software. È stata inoltre individuata e risolta un’altra vulnerabilità (CVE-2025-27921), sebbene non sia stata sfruttata.
Come funziona la catena di attacchi di Marbled Dust?
- Accesso a Output Messenger: La catena di attacco avviata dall’attore malevolo Marbled Dust ha inizio con l’ottenimento dell’accesso all’applicazione Output Messenger Server Manager in qualità di utente autenticato. Sebbene il metodo esatto utilizzato per ottenere le credenziali di autenticazione non sia del tutto noto, Microsoft ritiene che Marbled Dust ricorra probabilmente a un di DNS -hijacking o a domini oggetto di typosquatting per intercettare, registrare e riutilizzare le credenziali. Tali tecniche sono state riscontrate nelle loro precedenti attività dannose.
- Sfruttamento CVE-2025-27920: Una volta effettuata l’autenticazione, Marbled Dust sfrutta la vulnerabilità CVE-2025-27920 . Tale vulnerabilità consente a un utente autenticato di inserire file dannosi nella directory di avvio del server. L'autore dell'attacco inserisce i file dannosi “OM.vbs” e “OMServerService.vbs” nella cartella di avvio del server Output Messenger e inserisce OMServerService.exe nella directory “Users/public/videos” del server.
- Chiamata di OM.vbs: L'attacco prosegue con OMServerService.vbs che chiama “OM.vbs”, il quale viene poi passato a “OMServerService.exe” come argomento. Il file “OM.vbs” non era disponibile per l’analisi. Tuttavia, “OMServerService.exe” è stato identificato come una backdoor scritta in GoLang che si mascherava da file legittimo. In alcuni casi, Microsoft ha rilevato che il processo “OMServerService.exe” si connetteva a un dominio predefinito, “api.wordinfos[.]com”, a scopo di esfiltrazione dei dati.
- Distribuzione di un file eseguibile: Sul lato client, il programma di installazione estrarrà ed eseguirà sia il file legittimo che un file eseguibile dannoso. Il file eseguibile dannoso è una backdoor che stabilisce una connessione con un server di comando e controllo (C2).
- Esfiltrazione di dati: In almeno un caso osservato, è stato rilevato che un dispositivo della vittima, su cui era installato il software client Output Messenger, si connetteva a un indirizzo IP attribuito all’autore dell’attacco, probabilmente allo scopo di esfiltrare dati. Microsoft osserva che tali connessioni coincidono con l’invio, da parte dell’autore della minaccia, di comandi volti a raccogliere file con estensioni diverse in un file RAR sul desktop.
[Legga anche: Che cos’è la prevenzione della perdita di dati? [E perché ne ha bisogno]
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Microsoft sottolinea come l’utilizzo di una vulnerabilità zero-day rappresenti un cambiamento significativo per Marbled Dust, indicando che il gruppo sta diventando sempre più sofisticato.
Sebbene questo attacco sia rivolto principalmente all’Iraq, il gruppo ha già preso di mira in passato entità in altri paesi, il che rende la maggiore sofisticazione delle loro azioni un fatto ancora più preoccupante.
Come sempre, Microsoft ha incluso raccomandazioni (si apre in una nuova scheda), rilevamenti e query di ricerca per aiutare a identificare questa minaccia.
Una sofisticata campagna di phishing utilizza il malware Horabot
Secondo Fortinet (si apre in una nuova scheda), una sofisticata campagna di phishing sta attualmente sfruttando il malware Horabot.
È noto che il malware ricorra a e-mail di phishing che simulano specificatamente fatture o documenti finanziari. Horabot utilizza l’automazione COM di Outlook per inviare messaggi di phishing, il che gli consente di spostarsi lateralmente .
Cosa contiene l'e-mail di phishing?
L'attacco " " ha inizio con un'e-mail di phishing all'indirizzo che contiene un allegato; sia l'e-mail che l'allegato sono redatti in spagnolo.
L’e-mail sembra provenire da un mittente legittimo in Messico e presenta un oggetto relativo a una fattura allegata. L'allegato, che si presenta come una fattura in formato PDF da aprire, è in realtà un file ZIP contenente un file HTML dannoso.
Anche i dati decodificati contenuti nel file HTML costituiscono un file HTML che richiede un URL remoto per scaricare il payload successivo, ovvero un file ZIP. Questo file ZIP contiene un file HTA con numerose stringhe inutilizzate e un tag “moveTo(7426, 6245)” per riposizionare la finestra del browser. Successivamente, carica uno script per inserire un elemento esterno VBScript, che viene aggiunto all’elemento HTML.
Comprendere il ruolo dell’ VBScript
Come sottolinea Fortinet, l’ VBScript e implementerà una «routine personalizzata di decodifica delle stringhe, elaborando due caratteri alla volta, effettuando trasformazioni matematiche e ricostruendo stringhe nascoste, quali URL, comandi PowerShell o altre istruzioni». Il primo compito principale dello script consiste nel rilevamento e nell’elusione dell’ambiente, che comprende controlli antivirus, controlli delle macchine virtuali e l’elusione specifica dei dispositivi denominati “JOHN-PC”.
Lo script si assicurerà inoltre che esista la cartella necessaria per impedire una reinfezione, raccoglierà ed esfiltrerà le informazioni di base sulla vittima, preparerà l’ambiente per AutoIt scaricando i payload e predisporrà l’esecuzione di “ PowerShell ” creando uno script batch. Lo script garantirà la persistenza, eliminando determinati tipi di file dalle cartelle “%Startup%” e “%AppData%” e creando un nuovo file LNK che rimanda ai file nascosti inseriti. Infine, eseguirà i collegamenti creati.
A cosa servono lo script AutoIt e il trojan bancario?
Lo script AutoIt, utilizzato per la decrittografia, rivela la presenza di una DLL dannosa progettata per raccogliere informazioni dal computer della vittima e inviare tali dati al server C2 . Il malware sottrae quindi i dati relativi al browser e li trasmette al server remoto. Horabot monitorerà inoltre il comportamento delle vittime, inserendo finte finestre pop-up progettate per sottrarre le credenziali.
In che modo Horabot automatizza il proprio attacco via e-mail
Uno script di destinazione proveniente dal precedente VBScript ha lo scopo di eseguire script aggiuntivi sul server remoto. Come spiega Fortinet, questi file «possono completare l’intero ciclo che comprende la creazione di un elenco di vittime, l’automazione delle e-mail e la distribuzione efficiente del payload di Horabot». Il malware chiuderà le istanze di Outlook attualmente in esecuzione per assicurarsi di poter avviare il programma tramite un oggetto COM. Dopo aver creato un oggetto “Outlook.Application”, si inizializza un elenco vuoto in cui raccogliere gli indirizzi e-mail e si definisce un elenco di domini bloccati.
Un altro script provvederà quindi a creare un elenco di indirizzi e-mail, mentre un altro script salverà gli indirizzi raccolti e li invierà a un server esterno. Ulteriori script creeranno e invieranno un’e-mail contenente fatture false, per poi eliminare i file correlati. Il malware utilizza inoltre Outlook per diffondersi ad altre vittime.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Horabot utilizza Outlook per mimetizzarsi con il normale funzionamento del sistema, il che lo distingue da altri tipi di malware. Ciò ne rende più difficile l'identificazione.
Come sempre nel caso del phishing, la sensibilizzazione degli utenti è fondamentale, soprattutto poiché questa campagna ricorre a tecniche di adescamento comuni e tradizionali.
TA406 modifica il proprio comportamento di targeting
Un recente articolo pubblicato sul blog di Proofpoint (si apre in una nuova scheda) evidenzia un cambiamento significativo nel comportamento di targeting di TA406.
Proofpoint riferisce che TA406 sta ora utilizzando mittenti di posta elettronica gratuita che si spacciano per persone reali per indurre la vittima a interagire con l'esca. Il gruppo sta utilizzando tecniche di raccolta delle credenziali e vari tipi di malware nelle proprie campagne di phishing sin dal febbraio 2025.
A febbraio, l’unità TA406 ha inoltre iniziato a prendere di mira enti governativi in Ucraina per raccogliere informazioni sulla campagna russa.
Come funziona la diffusione del malware TA406 ?
TA406 ha storicamente preferito utilizzare file HTML e CHM per eseguire " PowerShell " incorporati e diffondere malware. Nel documento “ febbraio 2025”, Proofpoint ha rilevato che l’autore del reato si spacciava per un falso ricercatore senior associato a un falso think tank. L'e-mail conteneva un link al servizio di hosting file MEGA, che consentiva agli utenti di scaricare un file protetto da password. Il file è un archivio RAR che, una volta decriptato ed eseguito, avvierà la catena di infezione utilizzando PowerShell per effettuare attività di ricognizione. Il gruppo ha inviato diverse e-mail di phishing una dopo l’altra per diversi giorni, dopo che la vittima designata non aveva cliccato sul link originale.
L'archivio contiene un file CHM che include ulteriori file HTML. I file HTML mostreranno alla vittima designata contenuti ingannevoli. Uno script di tipo “ PowerShell ” contenuto nel codice HTML verrà eseguito se la vittima clicca in vari punti all’interno di quella pagina. In questo modo verranno scaricati ed eseguiti ulteriori PowerShell per raccogliere informazioni sull’host della vittima.
Le informazioni raccolte vengono quindi inviate all’autore dell’attacco. Per garantire la persistenza, l’autore della minaccia installa quindi un file batch (configurato come file ad esecuzione automatica), che viene avviato all’avvio del sistema.
Il corso TA406 riguarda la raccolta delle credenziali?
Prima che il gruppo avviasse le proprie campagne di malware, Proofpoint ha rilevato che l’autore del reato tentava di ottenere credenziali inviando falsi avvisi di sicurezza relativi a Microsoft .
Queste e-mail di phishing cercano di indurre la vittima a cliccare su un link per verificare la propria identità. I ricercatori non sono ancora riusciti a ottenere la pagina effettiva utilizzata per il phishing delle credenziali.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’ultima attività del gruppo TA406 sottolinea la costante attenzione del gruppo verso l’intelligence geopolitica. Il cambiamento di rotta nella scelta degli obiettivi, dagli enti governativi russi a quelli ucraini, potrebbe indicare una ridefinizione delle priorità dell’intelligence nordcoreana.
Ciò che è interessante è il ricorso a persone fittizie appartenenti a think tank fittizi, anziché il tentativo di spacciarsi per persone reali.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
