Nella rassegna di questa settimana, CTI esamina una piattaforma di phishing-as-a-service (PhaaS) denominata ONNX, che attualmente sta prendendo di mira Microsoft 365 account nel settore finanziario. Successivamente, CTI fornisce un aggiornamento su un autore di minacce identificato come Boolka, il quale compromette i siti web per diffondere un trojan denominato BMANAGER. Infine, CTI conclude con una panoramica su SneakyChef, un attore malintenzionato finora non documentato, collegato a una campagna di spionaggio informatico che ha preso di mira enti governativi.
1. ONNX Store si rivolge al settore finanziario
Una piattaforma di phishing-as-a-service (PhaaS) denominata “ ” ( ), nota come “” (ONNX Store) ( ), sta prendendo di mira 365 account ( Microsoft ). Gli attacchi prendono attualmente di mira i dipendenti di società finanziarie e sfruttano i codici QR di all’interno di allegati PDF.
ONNX Store aumenta le proprie possibilità di successo grazie all’implementazione di un meccanismo di bypass denominato “ 2FA ” ( ), in grado di intercettare le richieste provenienti dalle proprie vittime. EclecticIQ ritiene che l’autore della minaccia alla base del PhaaS ONNX Store sia lo stesso responsabile del kit Caffeine e che possa trattarsi di un rebranding della piattaforma. Già nel 2023, il creatore del kit Caffeine aveva annunciato che sarebbe stato effettuato un rebranding, precisando che la piattaforma era stata trasferita su “ONNX STORE”. Il rebranding è incentrato sul miglioramento della sicurezza operativa (OPSEC) per gli attori, poiché Caffeine si avvaleva di un unico server web condiviso per gestire tutte le campagne.
ONNX consente agli operatori di gestire le proprie campagne tramite i bot di Telegram e dispone di un canale di assistenza aggiuntivo. EclecticIQ ha rilevato l’utilizzo di bot per la ricezione di codici 2FA , per l’acquisizione di credenziali di Microsoft Office 365 , per consentire agli autori di controllare un server di webmail da cui inviare e-mail di phishing all’indirizzo , nonché per effettuare pagamenti, monitorare i propri ordini, generare e-mail di phishing e esche di ingegneria sociale, e per l’hosting “bulletproof”.
Secondo EclecticIQ, ONNX Store si avvale di Cloudflare per “ritardare il processo di rimozione dei domini utilizzati per il phishing”.
ONNYX Store e il phishing tramite codici QR
Come molti altri servizi di phishing attualmente in uso, ONNX Store ricorre ora ai codici QR per sferrare i propri attacchi.
Questo servizio di phishing distribuirà documenti PDF contenenti un codice QR. I file PDF spesso fingono di riguardare aggiornamenti salariali, manuali per i dipendenti e altri argomenti relativi alle risorse umane.
La scansione del codice QR reindirizzerà la vittima verso un sito di phishing controllato dall'autore dell'attacco. La pagina ha lo scopo di sottrarre le credenziali di accesso e i codici 2FA .
ONNX Store e JavaScript
ONNX Store utilizza codice JavaScript crittografato che si decrittografa automaticamente al caricamento della pagina. Questa tecnica offre una protezione aggiuntiva, in particolare contro gli scanner anti-phishing. Il codice JavaScript decriptato è responsabile del furto dei 2FA token inseriti dalla vittima.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
ONNX Store presenta molte delle stesse caratteristiche e funzionalità di altri kit di phishing disponibili sul mercato, pertanto resta da vedere se avrà davvero successo.
Al momento, i ricercatori hanno osservato che il kit viene utilizzato esclusivamente contro società finanziarie. La situazione potrebbe cambiare, vista la crescente attenzione che gli sviluppatori stanno dedicando al miglioramento dell’OPSEC per i propri utenti. Inoltre, il loro utilizzo dei codici QR dimostra l’interesse a tenersi al passo con l’evoluzione delle minacce.
2. Boolka diffonde il trojan BMANAGER tramite attacchi SQLi
Un attore malintenzionato, identificato come Boolka , sta attualmente compromettendo siti web vulnerabili per diffondere un trojan denominato BMANAGER.
Secondo Group-IB, l’autore degli attacchi sta conducendo attacchi opportunistici di tipo “ SQL” in diversi paesi almeno dal 2022, raccogliendo ed esfiltrando i dati inseriti dagli utenti. La campagna reindirizza gli utenti verso una pagina di destinazione che li invita a scaricare e installare un'estensione del browser che in realtà è il trojan BMANAGER.
Attacchi informatici che coinvolgono Boolka
Boolka infetta i siti web con codice JavaScript dannoso sin dal 2022. Quando un utente visita inevitabilmente uno dei siti infetti, lo script viene scaricato ed eseguito. Lo script invierà innanzitutto una richiesta al server di Boolka, per comunicargli che è stato eseguito. Successivamente, procede alla raccolta dei dati inseriti dagli utenti nel sito e provvede all’esfiltrazione delle informazioni raccolte.
Recentemente è stata scoperta una versione aggiornata di questo script che presenta alcune modifiche. Ad esempio, ora verificherà la presenza di un elemento div specifico con l’ID “hookwork” e, qualora non fosse presente, ne creerà uno. La nuova versione prevede inoltre ulteriori controlli volti a impedire l'invio di determinate proprietà al server.
Diffusione di malware
Si ritiene ora che una landing page individuata a gennaio sia una versione di prova della piattaforma di diffusione di malware di Boolka. La piattaforma si basa su uno strumento open source denominato BeEF. Boolka ha creato tre diversi domini per le pagine di destinazione, ma ne ha utilizzato solo uno.
Nel rapporto “ marzo 2024”, Group-IB ha osservato per la prima volta la piattaforma di distribuzione di Boolka in ambiente reale. Questa piattaforma viene utilizzata per distribuire il programma di download BMANAGER.
Malware
Group-IB ha individuato diversi campioni di malware, tutti avviati tramite il dropper BMANAGER. È stato inoltre osservato che Boolka utilizzava BMANAGER, il downloader BMANAGER, BMREADER per l’esfiltrazione dei dati, BMLOG per il keylogging, BMHOOK per la registrazione delle applicazioni in esecuzione con il focus sulla tastiera e BMBACKUP per il furto di file.
Programma di download BMANAGER
Il programma di download tenta di scaricare ed eseguire il malware BMANAGER. Il malware viene scaricato dall'indirizzo URL , hardcoded nel dropper, tramite una richiesta HTTP GET. Garantisce la persistenza tramite attività di tipo “ Windows ” che avvieranno il malware al momento dell’accesso dell’utente.
BMANAGER
Il malware scarica file da un indirizzo C2 hardcoded. Creerà attività di avvio, eliminerà attività di avvio ed eseguirà vari file eseguibili. Al primo avvio, il malware si registrerà presso il C2 utilizzando un codice di identificazione ( GUID ) generato in modo casuale, che viene memorizzato in un database SQL . Cercherà di ottenere dal C2 un elenco delle applicazioni su cui dovrebbe concentrarsi.
Il malware scaricherà quindi altri file eseguibili dal C2. Tra questi figurano BMREADER, BMLOG, BMHOOK e BMBACKUP. La maggior parte dei campioni di malware utilizzava un database " SQL " locale, il cui percorso era hardcoded nei campioni stessi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Boolka ha notevolmente evoluto le proprie tattiche, tecniche e procedure (TTP) dal suo primo attacco, passando da semplici attacchi di iniezione di codice “ SQL ” di natura opportunistica alla creazione di un’intera piattaforma di distribuzione di malware e di malware personalizzato.
Questo attore si sta rivelando una minaccia formidabile, pertanto è sorprendente che non si siano avute molte notizie pubbliche sulle sue attività. D'altra parte, sembra che la pratica di ricorrere ad attacchi di tipo “ SQL ” per sottrarre dati sensibili stia tornando in auge.
3. SneakyChef distribuisce SpiceRAT e SugarGh0st
SneakyChef è ora collegato a una campagna di spionaggio informatico che prende di mira enti governativi. The previously undocumented threat actor uses scanned documents of government agencies as lures and was observed using SugarGh0st and SpiceRAT malware in its campaigns.
Informazioni su SneakyChef
Cisco Talos ha individuato per la prima volta una campagna che utilizzava il RAT SugarGh0st a metà del 2023. Da allora, hanno continuato a rilevare campagne che sfruttano lo stesso malware, il che li ha portati a creare un nuovo profilo di attore denominato SneakyChef. Si ritiene che questo attore sia di lingua cinese, in base alle sue preferenze linguistiche e al fatto che utilizzi Gh0st RAT, uno strumento molto diffuso tra gli attori cinesi. Questo attore aveva inizialmente preso di mira gli utenti dell’Uzbekistan e della Corea del Sud, ma da allora ha ampliato il proprio raggio d’azione fino a includere diversi paesi dell’area EMEA e dell’Asia.
Le esche di SneakyChef
SneakyChef sta utilizzando esche che consistono in documenti digitalizzati provenienti da enti governativi. Cisco Talos rileva che tali documenti non sembrano essere accessibili al pubblico.
Per le campagne rivolte ai paesi dell’Africa meridionale, i documenti erano stati redatti a nome del Ministero degli Affari Esteri dell’Angola. Per le campagne rivolte ai paesi dell’Asia centrale, i documenti erano spacciati per provenire dal Ministero degli Affari Esteri del Turkmenistan o del Kazakistan.
Le truffe rivolte ai paesi del Medio Oriente utilizzavano documenti che sembravano riguardare una festività ufficiale. Oltre alle esche incentrate su tematiche governative, Cisco Talos ha individuato anche un documento esca che consisteva in una domanda di iscrizione a una conferenza e un documento che rappresentava l’abstract di un articolo di ricerca presentato in occasione di un’altra conferenza internazionale. Vi erano ulteriori incentivi legati agli inviti alla conferenza e ai relativi dettagli.
C2 domini, vecchi e nuovi
Come già segnalato, Cisco Talos aveva inizialmente rilevato attività da parte di questo attore nel 2023 , sebbene non ne fosse ancora stata stabilita l’attribuzione. L'attore continua a utilizzare un dominio C2 che era stato segnalato diversi mesi fa. Hanno inoltre rilevato l’utilizzo di un nuovo dominio C2 da parte del malware SugarGh0st nel periodo compreso tra marzo e l’ aprile 2024.
Catena di infezione: nell’ultima campagna di SneakyChef, l’autore dell’attacco ha iniziato a utilizzare una terza catena di infezione che sfrutta SFX RAR per ottenere l’accesso iniziale. Quando la vittima dell’attacco esegue il file eseguibile, lo script SFX inserirà un documento esca, un caricatore DLL, il payload SugarGh0st crittografato e uno script VB dannoso.
Lo script VB viene eseguito per primo e garantirà la persistenza tramite una chiave di registro che verrà eseguita al momento dell'accesso. Quando l'utente effettua l'accesso, viene eseguito un comando per avviare la DLL di caricamento, update.dll. Il loader ha il compito di leggere il payload SugarGh0st crittografato, authz.lib. Lo decripterà e lo inserirà in un processo.
SneakyChef, un attore malintenzionato finora non documentato, è ora collegato a una campagna di spionaggio informatico che ha preso di mira enti governativi. L'autore degli attacchi utilizza documenti digitalizzati provenienti da enti governativi come esche e, nel corso delle sue campagne, è stato rilevato che impiega i malware SugarGh0st e SpiceRAT.
SneakyChef
Cisco Talos ha individuato per la prima volta una campagna che utilizzava il RAT SugarGh0st a metà del 2023. Da allora, hanno continuato a rilevare campagne che sfruttano lo stesso malware, il che li ha portati a creare un nuovo profilo di attore denominato SneakyChef. Si ritiene che questo attore sia di lingua cinese, in base alle sue preferenze linguistiche e al fatto che utilizzi Gh0st RAT, uno strumento molto diffuso tra gli attori cinesi. Questo attore aveva inizialmente preso di mira gli utenti dell’Uzbekistan e della Corea del Sud e da allora ha esteso il proprio raggio d’azione a diversi paesi dell’area EMEA e dell’Asia.
Esche
SneakyChef sta utilizzando esche che consistono in documenti digitalizzati provenienti da enti governativi. Cisco Talos rileva che tali documenti non sembrano essere accessibili al pubblico. Per le campagne rivolte ai paesi dell’Africa meridionale, i documenti utilizzati si presentavano come provenienti dal Ministero degli Affari Esteri dell’Angola. Per le campagne rivolte ai paesi dell’Asia centrale, i documenti si presentavano invece come provenienti dal Ministero degli Affari Esteri del Turkmenistan o del Kazakistan.
Le truffe rivolte ai paesi del Medio Oriente, invece, utilizzavano documenti che si presentavano come una circolare relativa a una festività ufficiale. Oltre alle esche a tema governativo, Cisco Talos ha individuato anche un documento esca che consisteva in una domanda di iscrizione a una conferenza e un documento che rappresentava l’abstract di un articolo di ricerca presentato in occasione di un’altra conferenza internazionale. Vi erano ulteriori incentivi legati agli inviti alla conferenza e ai relativi dettagli.
C2 domini, vecchi e nuovi
Come già segnalato, Cisco Talos aveva inizialmente rilevato attività da parte di questo attore nel 2023 , sebbene non ne fosse ancora stata stabilita l’attribuzione. L'attore continua a utilizzare un dominio C2 di cui si era parlato alcuni mesi fa, e ciò è stato osservato fino a metàmaggio 2024. Hanno inoltre rilevato l’utilizzo di un nuovo dominio C2 da parte del malware SugarGh0st nel periodo compreso tra marzo e l’ aprile 2024.
La catena di infezione di SneakyChef
Nella più recente campagna di SneakyChef, l’autore sta utilizzando una terza catena di infezione che sfrutta SFX RAR per ottenere l’accesso iniziale. Quando la vittima dell’attacco esegue il file eseguibile, lo script SFX inserirà un documento esca, un caricatore DLL, il payload SugarGh0st crittografato e uno script VB dannoso.
Lo script VB viene eseguito per primo e garantirà la persistenza tramite una chiave di registro che verrà eseguita al momento dell'accesso. Quando l'utente effettua l'accesso, viene eseguito un comando che avvia la DLL di caricamento, update.dll. Il loader ha il compito di leggere il payload SugarGh0st crittografato, authz.lib. Lo decripterà e lo inserirà in un processo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo articolo è un esempio di quanto possa essere complessa l’attribuzione. In questo caso, solo dopo quasi un anno i ricercatori sono riusciti a ricondurre una serie di attività a un determinato soggetto e a crearne un profilo. Ciò risulta particolarmente interessante nel caso degli attori malintenzionati cinesi, le cui tattiche, tecniche e procedure (TTP) presentano una sovrapposizione talmente marcata da rendere talvolta difficile distinguerli tra loro.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
