Il primo argomento trattato nella rassegna di questa settimana è un’analisi di BugSleep, una nuova backdoor che l’attore statale iraniano MuddyWater sta utilizzando nella sua ultima campagna. Successivamente, CTI esamina due pacchetti dannosi che sono stati recentemente individuati nel registro dei pacchetti npm. Infine, CTI sta indagando sull’attore malintenzionato Void Banshee, che sta attualmente sfruttando una vulnerabilità recentemente resa nota nel motore di navigazione MHTML di Microsoft per diffondere il programma di furto di informazioni Atlantida.
1. MuddyWater distribuisce il malware BugSleep
L’attore statale iraniano noto come “ ” (MuddyWater , , alias Mercury) sta utilizzando una nuova backdoor denominata BugSleep nella sua ultima campagna.
BugSleep è progettato per eseguire comandi e trasferire file tra il C2 e il dispositivo compromesso. Il malware è ancora in fase di sviluppo e viene costantemente aggiornato.
In che modo MuddyWater utilizza le esche
Nel corso delle proprie campagne, MuddyWater invia spesso e-mail di phishing del tipo “ ” ( ) a un gran numero di destinatari da un account di posta elettronica compromesso. Dal febbraio 2024, Check Point ha individuato oltre 50 e-mail di spear-phishing che prendevano di mira più di 10 settori diversi e centinaia di destinatari.
Ad esempio, un messaggio ingannevole era rivolto ai comuni e li esortava a scaricare un nuovo file personalizzato denominato “ App”. Altre strategie di richiamo erano molto più generiche e comprendevano inviti a webinar e altri corsi online che potevano essere utilizzati in diversi settori e regioni.
La catena di contagio di MuddyWater
L'attore sfrutta in modo improprio la piattaforma di condivisione file Egnyte e inserisce i relativi sottodomini nelle proprie e-mail di phishing.
Quando le vittime cliccano su questi link condivisi, vengono reindirizzate a un sito che contiene un archivio da scaricare. L'archivio contiene il malware BugSleep.
Che cos’è BugSleep?
BugSleep è un nuovo malware che MuddyWater utilizza sin dal maggio 2024.
BugSleep ha in parte sostituito l’uso intensivo che il gruppo faceva di strumenti RMM legittimi. Check Point ha già rilevato diverse versioni del malware in circolazione; ciascuna nuova versione presenta miglioramenti e correzioni di bug.
Tutte le versioni del malware iniziano con diverse chiamate all’API Sleep per evitare di essere eseguite in una sandbox. La maggior parte dei campioni crea quindi un’attività pianificata a scopo di persistenza, che garantirà l’esecuzione del malware ogni 30 minuti.
Il malware è in grado di eseguire diversi comandi, tra cui l’invio del contenuto di un file al C2, la scrittura di contenuti in un file, l’eliminazione, la creazione o la verifica dello stato dell’attività di persistenza, l’aggiornamento del tempo di inattività e altro ancora.
Uno dei campioni analizzati era inoltre dotato di un loader personalizzato che carica BugSleep in memoria all’interno di uno dei seguenti processi: msedge.exe, opera.exe, chrome.exe, anydesk.exe, Onedrive.exe, powershell.exe.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
MuddyWater è attiva almeno dal 2017 e continua ad ampliare le proprie tecniche e il proprio ventaglio di vittime.
Questa ultima campagna di MuddyWater rivela un cambiamento nell’operato dell’attore. MuddyWater ha storicamente fatto ampio ricorso all’uso di software RMM legittimo per mantenere l’accesso all’ambiente.
La ricerca di Check Point rivela che questo attore sta sperimentando nuovi metodi di persistenza e nuovi malware, il che indica che probabilmente ci saranno ulteriori sviluppi.
2. I ricercatori hanno individuato file dannosi nel registro npm
Recentemente sono stati individuati due pacchetti dannosi denominati “ ” nel registro dei pacchetti npm; essi contenevano sofisticate funzionalità di comando e controllo nascoste in file immagine che venivano eseguite al momento dell’installazione del pacchetto.
I due pacchetti individuati nel corso di questa campagna erano entrambi , ovvero cloni contraffatti di pacchetti legittimi AWS.
I pacchetti npm dannosi
I due pacchetti dannosi sono il img-aws-s3-object-multipart-copy e il legacyaws-s3-object-multipart-copy.
Il primo pacchetto è una copia del pacchetto ufficiale “ AWS ”, disponibile all’indirizzo GitHub. L'autore dell'attacco ha aggiornato il file “ Index.js” in modo da eseguire lo script “loadformat.js”, uno script aggiuntivo che è stato inserito nel pacchetto dannoso.
Dall’elaborazione delle immagini all’esecuzione
Phylum (la cui tecnologia è stata acquisita da Veracode nel 2025 , ma che qui viene citata con il suo nome originale) ha analizzato Loadformat.js per ottenere ulteriori dettagli e ha scoperto che ogni byte viene analizzato dopo la lettura del file immagine dal disco.
Dopo aver definito determinati corpi e variabili, verrà eseguito tutto ciò che è contenuto nello script estratto dal file immagine.
Comando e controllo in un file JPEG
Phylum ha cercato di capire quale file eseguibile fosse contenuto nelle immagini. Hanno individuato tre file nella directory principale del pacchetto, ovvero logo1.jpg, logo2.jpg e logo3.jpg.
Phylum ha scoperto che il codice provvederà a registrare un nuovo cliente sul server remoto C2 inviando determinate informazioni, quali il nome dell’host e il tipo di sistema operativo, a un indirizzo IP specifico. Verrà quindi creato un intervallo in cui eseguire un ciclo per recuperare i comandi dal C2 ogni cinque secondi.
I comandi ottenuti verranno eseguiti sul dispositivo e l'output verrà rinviato all'autore della minaccia.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questi due pacchetti sono stati infine rimossi da npm, ma solo dopo essere stati disponibili al pubblico per circa due giorni.
I rischi associati al software open source continueranno probabilmente a sussistere, soprattutto perché gli autori delle minacce sono consapevoli della forte dipendenza delle organizzazioni da numerosi software e pacchetti open source. Ciò è dimostrato dal notevole aumento del numero di pacchetti dannosi pubblicati nei repository open source negli ultimi anni.
Si tenga presente che questi pacchetti erano cloni di pacchetti legittimi e non pacchetti legittimi che erano stati infettati da trojan. È importante prestare la massima attenzione ai pacchetti open source e dedicare il tempo necessario a verificare ciò che viene scaricato dai repository open source.
3. Void Banshee sfrutta una vulnerabilità MHTML di Microsoft
L’autore di attacchi denominato “Void Banshee” sta attualmente sfruttando una vulnerabilità recentemente resa nota nel motore di navigazione MHTML di Microsoft per diffondere il programma di furto di informazioni Atlantida.
La vulnerabilità è stata sfruttata nell’ambito di un attacco in più fasi per accedere ed eseguire file tramite l’ Internet Explorer , che era disabilitato, tramite MSHTML. L’infostealer “ ” Atlantida mira a sottrarre informazioni di sistema e dati sensibili, quali password e cookie.
La vulnerabilità
CVE-2024-38112 è una vulnerabilità RCE in MHTML. La vulnerabilità è stata sfruttata come zero-day per eseguire file tramite il componente " Internet Explorer" (Componenti di pagina HTML), che era disabilitato, utilizzando MSHTML.
Questa vulnerabilità è stata risolta martedì nell’aggiornamento “ luglio 2024 ” Patch . È stato osservato che Void Banshee sfruttava questa vulnerabilità nell’ambito della propria catena di infezione a partire dalla metà delmaggio 2024.
L'utilizzo di Internet Explorer come vettore di attacco
Internet Explorer Il supporto è terminato nel giugno del 2022 ed è stato disattivato nelle versioni successive di Windows. Ciò, tuttavia, non significa che sia stato rimosso dai sistemi. Sui sistemi Windows sono ancora presenti residui di Internet Explorer , anche se non sono accessibili né visibili all’utente comune. Se un utente dovesse individuare e tentare di aprire il file iexplorer.exe, verrebbe semplicemente reindirizzato a Microsoft Edge.
In questa campagna denominata “Void Banshee”, secondo Trend Micro, l’autore dell’attacco ha sfruttato la vulnerabilità CVE-2024-38112 per “avviare ed eseguire file e siti web tramite il processo IE disabilitato... attraverso MSHTML”. A tal fine, l’autore dell’attacco ha utilizzato file “ URL ” appositamente creati ed è riuscito a eseguire un file HTA direttamente tramite il processo di Internet Explorer disabilitato.
Dettagli tecnici
- Per dare il via all'attacco, l'autore della minaccia sfrutta archivi ZIP contenenti libri in formato PDF insieme a file dannosi che si presentano come PDF.
- Tali elementi sono presenti principalmente nelle e-mail di spear phishing e nei siti di condivisione su cloud.
- L'attacco ha inizio quando una vittima fa clic sul file di collegamento dannoso URL , progettato per sfruttare la vulnerabilità.
- Il file di collegamento Internet rimanda a un dominio controllato dall’autore dell’attacco, dove viene utilizzato un file HTML per scaricare la parte HTA dell’infezione. Il file HTML può essere utilizzato anche dall’attore per nascondere le informazioni relative al browser.
- Quando si accede all’ URL tramite Internet Explorer , il sistema tenterà di aprire il file HTA e chiederà all’utente se desidera aprire o salvare la pagina HTML App. All'utente, questo appare come un normale file PDF.
- Il file contiene un’ VBScript e che decrittografa il proprio contenuto e successivamente lo esegue tramite PowerShell. Viene inoltre eseguito un trojan loader .NET per effettuare l'iniezione nel processo. Nelle fasi successive viene utilizzato il loader open source Donut per decriptare ed eseguire lo stealer Atlantida, che costituisce il payload finale dell’attacco.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
A prima vista, questo attacco potrebbe sembrare irrilevante, poiché Internet Explorer è stato chiuso. Tuttavia, gli autori delle minacce possono comunque sfruttare il browser e utilizzarlo per infettare utenti e organizzazioni, come dimostra questo attacco.
Come ha spiegato Trend Micro, gruppi APT come Void Banshee possono sfruttare servizi disabilitati quali Internet Explorer, il che rappresenta una minaccia significativa per le organizzazioni. La vulnerabilità è stata nel frattempo risolta, ma la minaccia persiste per coloro che non hanno applicato la patch, ritenendo che Internet Explorer non fosse installato sui propri computer.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
