Questa settimana, CTI esamina una campagna di phishing che si spaccia per PayPal al fine di sottrarre credenziali e assumere il controllo degli account degli utenti. Di seguito, CTI fornisce ulteriori dettagli su un nuovo malware denominato PLAYFULGHOST. Infine, CTI fornisce gli ultimi dettagli su NonEuclid RAT, un malware che consente l’accesso e il controllo remoti sui computer.
Campagna di phishing che si spaccia per PayPal
Una recente campagna di phishing sta simulando l'identità di PayPal per sottrarre le credenziali degli utenti e assumere il controllo dei loro conti. Carl Windsor, CISO di Fortinet, ha recentemente scoperto (si apre in una nuova scheda) la campagna dopo aver ricevuto e analizzato un’e-mail sospetta, poiché il campo “A” dell’e-mail conteneva un indirizzo “onmicrosoft”.
Come funziona l'attacco di phishing su PayPal
Windsor precisa che l’attacco di phishing “ ” (si apre in una nuova scheda) sembrava provenire da un indirizzo e-mail PayPal legittimo. Quando ha posizionato il cursore sul link “Paga ora” contenuto nell’e-mail, ha notato che reindirizzava a un dominio PayPal valido, il che non ha destato particolari sospetti.
Cliccando sul pulsante presente nell'e-mail, l'utente viene reindirizzato a una pagina di accesso a PayPal in cui viene visualizzata una richiesta di pagamento. Tuttavia, come sottolinea Windsor nel suo post, inserendo le proprie credenziali in questa pagina si collegherà di fatto l’indirizzo del proprio conto PayPal all’indirizzo e-mail che ha ricevuto il messaggio, ovvero l’indirizzo “onmicrosoft”.
Com'è possibile? Secondo Windsor, l’autore della campagna aveva registrato un dominio di prova MS365 e creato una lista di distribuzione contenente gli indirizzi e-mail delle vittime. È importante sottolineare che questi domini di prova vengono forniti gratuitamente per i primi tre mesi, il che li rende opzioni a basso costo per gli autori delle minacce.
Dopo aver configurato il dominio di prova e la lista di distribuzione, l’autore dell’attacco può accedere al portale web di PayPal e richiedere denaro alla lista di distribuzione. Questa azione genera l'invio di un'e-mail alle vittime e modifica l'identità del mittente per superare i controlli di sicurezza. Una volta che la vittima ha inserito le proprie credenziali, il suo account si collega a quello dell’autore dell’attacco, consentendogli di assumere il pieno controllo dell’account PayPal.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo esempio di phishing è molto interessante, soprattutto perché non ricorre a molte delle tecniche tradizionali di phishing. Molti dei consigli e dei suggerimenti contenuti nel corso di formazione sulla sicurezza informatica “ ” (si apre in una nuova scheda) (verifica del mittente, individuazione di URL sospetti, ecc.) non avrebbero fatto scattare alcun allarme per questa e-mail, che riportava un mittente valido e l’indirizzo URL.
Windsor sostiene che la soluzione migliore sia il “firewall umano”, ovvero “una persona che sia stata formata per prestare attenzione ed essere cauta nei confronti di qualsiasi e-mail non richiesta, indipendentemente da quanto possa sembrare autentica”.
PLAYFULGHOST si diffonde tramite phishing e SEO poisoning
Il team Managed Defense di Google ha pubblicato i dettagli (si apre in una nuova scheda) relativi a un nuovo malware denominato PLAYFULGHOST. Il malware presenta diverse funzionalità, tra cui la registrazione dei tasti, l’acquisizione di schermate e audio, l’accesso remoto alla shell e la possibilità di trasferire file.
Inoltre, la backdoor presenta somiglianze funzionali con il noto malware Gh0st RAT, il cui codice sorgente è trapelato nel 2008.
Modalità di consegna di PLAYFULGHOST
Google Sono stati individuati due metodi di diffusione noti per PLAYFULGHOST: e-mail di phishing e SEO poisoning.
- Esempio di phishing di PLAYFULGHOST
In un attacco di phishing, l’infezione è iniziata con il tentativo di indurre la vittima ad aprire un archivio RAR dannoso allegato all’e-mail. L'archivio RAR presentava un'estensione .jpg, il che ha ulteriormente indotto la vittima a credere che si trattasse di un innocuo file immagine.
Se la vittima estrae l'archivio, verrà rilasciato un file eseguibile dannoso Windows che scarica ed esegue PLAYFULGHOST da un server remoto. - Esempio di SEO poisoning di PLAYFULGHOST:
In questo caso di infezione, le vittime vengono indotte con l’inganno a scaricare il file eseguibile dannoso Windows . Il file eseguibile si presenta come un programma di installazione per software legittimo, come LetsVPN.
Una volta eseguito, il file inserirà nel sistema un altro file eseguibile dannoso, Windows , che scarica i componenti di PLAYFULGHOST da un server remoto.
Come funziona PLAYFULGHOST?
PLAYFULGHOST utilizza un sistema composto da tre elementi: un eseguibile legittimo che dirotta l’ordine di ricerca delle DLL, un file DLL di avvio dannoso situato nella stessa cartella e un file contenente il payload vero e proprio. Il file eseguibile legittimo carica la DLL di avvio dannosa, che decifra il payload in memoria.
In uno scenario, Google ha individuato l’autore che rinominava un eseguibile legittimo e firmato da Tencent in “ ” svchost.exe per mascherarne l’identità. Ciò è stato quindi utilizzato per caricare la DLL del programma di avvio dannoso e decriptare il payload.
In un altro caso, hanno osservato uno scenario più sofisticato che ha avuto inizio con un file LNK denominato “ Windows ”. Questo file ha unito un file di testo contenente caratteri a un secondo file che conteneva il resto del payload, al fine di creare un nuovo file DLL dannoso.
Funzionalità supportate
PLAYFULGHOST supporta diverse funzionalità che consentono a un autore di attacchi di controllare il sistema da remoto. Le sue funzioni di data mining comprendono l’acquisizione di schermate e audio, la cancellazione e la copia dei dati presenti negli appunti, la raccolta di informazioni sull’hardware, l’enumerazione, l’attivazione, la disconnessione e la chiusura delle sessioni RDP, e altro ancora.
Dispone inoltre di funzionalità di gestione dei file, cancellazione dei dati, esecuzione remota, escalation dei privilegi e anti-forense. Inoltre, è in grado di scaricare ulteriori payload e di compiere azioni fastidiose, quali la modifica della risoluzione dello schermo e l’occultamento delle barre delle applicazioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sebbene le modalità di diffusione di PLAYFULGHOST non siano innovative, il malware presenta un elenco molto ampio di funzionalità in grado di soddisfare le esigenze di una vasta gamma di autori di minacce.
È interessante osservare come alcuni malware mettano in atto “azioni fastidiose”, quali il blocco dell’input da tastiera, la modifica della risoluzione dello schermo, l’occultamento delle barre delle applicazioni e l’emissione di un segnale acustico.
Non è chiaro se tali funzionalità abbiano lo scopo di attivare il malware o siano semplicemente fastidiose. Google ha inoltre messo a disposizione su una serie di rilevamenti (si apre in una nuova scheda) per aiutare a identificare gli artefatti correlati a PLAYFULGHOST.
NonEuclid RAT sta guadagnando terreno
Cyfirma sta fornendo ulteriori dettagli (si apre in una nuova scheda) relativi al NonEuclid RAT, un nuovo tipo di malware che consente l’accesso e il controllo remoti sul computer della vittima.
Secondo Cyfirma, il malware consente l’accesso remoto non autorizzato e impiega tecniche avanzate di elusione. Attualmente viene pubblicizzato nei forum clandestini dedicati alla criminalità informatica.
Informazioni su NonEuclid
Il malware, sviluppato in C#, è dotato di meccanismi quali l’elusione degli antivirus, l’escalation dei privilegi, l’antirilevamento e la crittografia tipica dei ransomware.
I ricercatori hanno osservato che il malware ha acquisito diffusione grazie alle sue caratteristiche, tra cui la capacità di nascondersi, il caricamento dinamico delle DLL, i controlli anti-VM e le funzionalità di crittografia AES. Hanno inoltre seguito tutorial e partecipato a discussioni su NonEuclid su Discord e persino su YouTube, a ulteriore conferma della sua popolarità.
Come funziona NonEuclid?
Il malware avvia un'applicazione client attraverso diversi meccanismi. Configura le impostazioni, ritarda l’avvio e garantisce che determinate funzionalità dispongano dei privilegi di amministratore. Successivamente, esegue controlli relativi ai mutex e all’anti-rilevamento che, in caso di esito positivo, stabiliscono un socket client per la comunicazione, riconnettendosi qualora la connessione venga interrotta.
Il malware è dotato di una funzione anti-scansione che tenta di eludere le scansioni di Windows Defender, aggiungendo alcune esclusioni alle impostazioni del registr Windows Defender. Dispone inoltre di una funzione anti-processo che monitora i processi in esecuzione per identificare e terminare quelli specificati, quali Taskmgr e ProcessHacker. Il malware dispone di ulteriori tecniche, quali i controlli anti-VM, il bypass ASMI e l’accesso alla fotocamera.
Il malware crea inoltre un’attività pianificata che viene eseguita a intervalli prestabiliti, nascondendo la finestra di comando e sopprimendo l’output tramite la riga di comando ` Windows `, al fine di garantire la propria persistenza. Questo compito. Per ottenere un aumento dei privilegi, il malware tenta di manipolare la voce di registro “ Windows ” ed eseguire un comando che aggira determinate restrizioni.
Cyfirma ha esaminato i due file eseguibili che vengono distribuiti all’avvio del malware. Tramite l'Utile di pianificazione, questi file funzionano automaticamente e garantiscono la continuità operativa, poiché vengono eseguiti senza richiedere alcuna interazione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Cyfirma riassume NonEuclid affermando che esso «rappresenta un esempio della crescente sofisticazione del malware moderno, combinando meccanismi avanzati di occultamento, funzionalità anti-rilevamento e capacità tipiche del ransomware di tipo “ ” (si apre in una nuova scheda)».
I ricercatori hanno rilevato discussioni relative a questo malware su diversi forum clandestini, il che indica che il suo autore si sta impegnando a fondo per attirare l’attenzione degli autori di minacce. Resta da vedere se NonEuclid avrà successo o meno, ma la sua ampia gamma di funzionalità susciterà probabilmente l’interesse degli autori delle minacce.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
