Nella rassegna di questa settimana, CTI analizza in dettaglio il malware Realst, attualmente impiegato in una vasta campagna che prende di mira i computer Apple. A seguire, CTI mette in evidenza un rapporto su come gli autori delle minacce stiano vendendo i log dei malware progettati per il furto di informazioni sul dark web e sui canali di Telegram. Infine, CTI fornisce una panoramica su una nuova campagna di malware denominata “Nitrogen Initial Access”, che si spaccia per software legittimo al fine di infettare le vittime con payload di Cobalt Strike e ransomware.
1. Un malware di tipo "infostealing" prende di mira macOS Sonoma prima del suo lancio ufficiale
SentinelOne ha recentemente analizzato 59 campioni dannosi Mach-O di del malware infostealer Realst, attualmente impiegato in una vasta campagna che prende di mira i computer Apple.
I ricercatori hanno individuato alcuni campioni di questo nuovo malware Rust già mirati alla prossima versione del sistema operativo di Apple, macOS 14 Sonoma. Il malware infetta sia gli utenti di Windows che quelli di macOS tramite falsi giochi basati sulla blockchain promossi sui social media.
Distribuzione Realst
L’infostealer “ ” ( ) viene diffuso tramite siti dannosi che pubblicizzano falsi giochi basati sulla blockchain quali Brawl Earth, WildWorld, Dawnland, Destruction, Evolion, Pearl, Olymp of Reptiles e SaintLegend.
Ogni versione del gioco contraffatto è ospitata su un proprio sito web, con i relativi account Twitter e Discord associati. È stato inoltre osservato che gli autori delle minacce contattano le potenziali vittime direttamente tramite messaggi privati sui social media.
Informazioni sui programmi di installazione dannosi di Realst
Alcune versioni del programma di furto di informazioni vengono diffuse tramite Evolion.pkg, ovvero un programma di installazione in formato .pkg che contiene un file Mach-O dannoso e tre script correlati.
- Uno degli script è un programma di furto di informazioni multipiattaforma per Firefox.
- Un altro script è una copia del progetto open source chainbreaker. Questo script estrae password, chiavi e certificati dal database del portachiavi di macOS.
- Il terzo script è uno script di disinstallazione essenziale, privo di comportamenti realmente dannosi.
Altre versioni di Realst vengono distribuite tramite immagini disco .dmg. È stato riscontrato che alcuni sviluppatori inseriscono il malware in app basate su Electron e in pacchetti di applicazioni native per macOS.
Alcuni campioni sono stati progettati congiuntamente utilizzando uno specifico Apple Developer ID che è stato successivamente revocato. Altri campioni sono stati firmati in modo ad hoc e continueranno a essere rilasciati, poiché tali firme non possono essere revocate da remoto.
Analisi dinamica delle varianti di Realst
Da un punto di vista comportamentale, i campioni Realst presentano caratteristiche simili in tutte le varianti. A volte utilizzano chiamate API diverse e presentano alcune dipendenze variabili. Ma, in definitiva, tutti questi programmi sottraggono dati dal browser, dai portafogli di criptovalute e dai database dei portachiavi. Realst è compatibile con i browser Firefox, Chrome, Opera, Brave e Vivaldi. Può inoltre prendere di mira Telegram.
La maggior parte delle varianti di Realst tenta di sottrarre la password dell’utente tramite osascript e lo spoofing di AppleScript, oltre a eseguire verifiche per accertarsi che il dispositivo ospitante non sia una macchina virtuale. Il programma di furto di dati raccoglie le informazioni e le salva in una cartella denominata “data”. Questa cartella compare in una delle diverse posizioni a seconda della versione del malware. Se il malware riesce a ottenere l’autorizzazione per l’acquisizione dello schermo, salva anche uno screenshot del desktop della vittima nella stessa posizione del file.
Analisi statica delle varianti di Realst
SentinelOne ha individuato 16 varianti diverse su un totale di 59 campioni Realst e le ha suddivise in quattro famiglie principali. Tuttavia, vi sono numerose sovrapposizioni che consentirebbero loro di tracciare una linea di demarcazione diversa. Detto questo, hanno scelto la propria tassonomia di classificazione sulla base di elementi di stringa che potessero aiutare i cacciatori di minacce nell’identificazione e nel rilevamento.
- Famiglia di varianti A: . 26/59 campioni rientrano nella variante A. La caratteristica distintiva di queste varianti è la presenza di stringhe complete relative allo spoofing di AppleScript. In queste varianti viene utilizzato lo spoofing di AppleScript per sottrarre la password di amministratore dell’utente in chiaro. Utilizza l’opzione “risposta nascosta” per impedire all’utente di vedere i caratteri digitati, sostituendoli con punti elenco. In secondo piano, la finestra di dialogo di AppleScript acquisisce la password e la registra in chiaro. Tali campioni includono anche stringhe complete relative alle tecniche anti-analisi tramite il rilevamento delle macchine virtuali sotto forma di hw.model.
- Famiglia di varianti B: 10/59 campioni rientrano nella variante B. Queste varianti si distinguono perché suddividono le stringhe in unità più piccole, probabilmente per eludere un semplice rilevamento statico. A parte questo, questi campioni sono molto simili alla variante A.
- Famiglia di varianti C: . La variante C comprende 7/59 campioni. Queste varianti si distinguono per l’introduzione di un riferimento al “chain breaker” all’interno del file binario Mach-O.
- Famiglia di varianti D: 16/59 campioni rientrano nella variante D. In questa variante, l’estrazione della password avviene invece tramite una richiesta visualizzata nella finestra del Terminale. In alcuni casi, il malware ha inoltre utilizzato la password sottratta per elevare i privilegi tramite il comando ` sudo ` e installare il pacchetto Python `pycryptodome`.
Realst si prepara per macOS 14 Sonoma
Roughly one-third of the samples identified by SentinelOne contained strings targeting macOS 14 Sonoma.
Gli artefatti di stringa sono stati rilevati nella metà dei campioni della variante A e in tutti i campioni della variante B, ma non in quelli delle varianti C o D. Al momento, non è chiaro in che modo la differenza tra Sonoma e Ventura possa influire sull’esecuzione di Realst.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Considerando il numero di campioni di Realst che sono stati identificati e le variazioni riscontrate tra tali campioni, possiamo affermare che l’autore dell’attacco abbia dedicato un notevole impegno allo sviluppo di questo programma di furto di informazioni.
È già evidente che l’autore dell’attacco stia pianificando e preparandosi in vista del prossimo rilascio del sistema operativo di Apple. È probabile che, da qui al rilascio di Sonoma, si verifichino ulteriori varianti di Realst, poiché l’autore dell’attacco sembra modificare continuamente il proprio malware.”
2. La crescita esponenziale del malware di tipo “infostealer”: oltre 300.000 credenziali aziendali in vendita
L’azienda specializzata in sicurezza informatica Flare ha recentemente analizzato 20 milioni di registrazioni relative a malware di furto di informazioni in vendita sul dark web e su canali Telegram. Dalla loro analisi emergono circa 375.000 registrazioni relative all’accesso alle credenziali aziendali di applicazioni diffuse quali Salesforce, QuickBooks, AWS, Google Cloud, DocuSign e altre.
L'uso di malware di tipo "infostealer" ha registrato una crescita esponenziale, diventando così una delle principali tendenze del settore negli ultimi anni. Diverse varianti di infostealer raccolgono dati dai dispositivi compromessi e successivamente raggruppano e vendono tali registri di furto sul dark web e su Telegram. L'analisi di Flare prende in esame diverse serie di dati e conta complessivamente oltre 19,6 milioni di registrazioni relative a programmi di furto di dati.
I livelli di accesso dell’infostealer
Flare suddivide i log relativi ai furti di credenziali in tre livelli, in base al tipo di credenziali contenute nel log e al tipo di accesso che l’autore della minaccia sta probabilmente cercando di ottenere sfruttando tali credenziali.
Log di livello 1: credenziali aziendali di alto valore
Spesso gli utenti salvano le password nei propri browser per comodità. Quando un malware di tipo “infostealer” infetta un dispositivo, compromette contemporaneamente tutte le credenziali salvate nel browser. Tra questi possono figurare i sistemi CRM, le credenziali per RDP, VPN, l’accesso alle applicazioni SaaS e altro ancora. Gli autori delle minacce attribuiscono grande valore alle credenziali aziendali per ovvie ragioni. Anche gli “Initial Access Broker” (IAB) prendono spesso di mira tali credenziali per rivenderle sui forum del dark web.
Per stabilire se un dispositivo infetto avesse avuto accesso alla rete aziendale su larga scala, Flare ha individuato alcuni indicatori che, a loro avviso, sono probabilmente correlati all’accesso alla rete aziendale.
- Infrastruttura IT aziendale: Flare ha iniziato analizzando i log alla ricerca di accessi alle console di gestione AWS e Google Cloud. Ciò ha portato a 181.785 registrazioni, di cui 179.411 costituivano credenziali della consol AWS . Circa il 75% di queste credenziali è comparso sia nelle chat pubbliche che in quelle private di Telegram, il 24% su Russian Market e meno dell’1% su Genesis Market.
- Contatti aziendali e applicazioni finanziarie: un’altra categoria individuata da Flare era quella delle applicazioni finanziarie aziendali, quali Intuit QuickBooks e DocuSign. Sono stati individuati 80.099 registri relativi all’accesso a una di queste applicazioni, 64.000 dei quali riguardavano credenziali di DocuSign.
- Applicazioni CRM e di gestione dei dati dei clienti: Flare ha esaminato due dei principali fornitori di soluzioni CRM, tra cui Salesforce e Hubspot, e ha individuato un totale di 66.000 registrazioni relative ad accessi al CRM, di cui circa 23.000 riguardavano accessi ad account Salesforce.
- OpenAI e ChatGPT: Flare ha inoltre effettuato una ricerca dei log relativi a Stealer contenenti openai[.]com, individuando oltre 200.000 log.
Registri Tier 2 : Servizi bancari e finanziari
Tali registri contengono le credenziali delle principali banche, che vengono a loro volta utilizzate dagli autori delle minacce per sottrarre denaro dai conti dei consumatori. Su Genesis Market vengono venduti a un prezzo medio di 112 dollari, rispetto a una media di 15 dollari per tutti i log.
Secondo il sito Flare, si tratta del secondo tipo di tronchi da legname da taglio più pregiato. Flare ha analizzato 213 società di servizi finanziari per determinare quale percentuale di esse disponesse di registri in cui i propri domini fossero inclusi in un registro di un software di furto di dati e in che misura il prezzo di tali registri variasse. Hanno riscontrato che il prezzo medio di un dispositivo infetto in vendita su Genesis Market, dotato di credenziali di accesso a servizi finanziari, era di circa 112 dollari, rispetto ai soli 14 dollari di quelli che ne erano sprovvisti. Le prime 50 banche statunitensi presentano circa 200.000 registrazioni relative al furto di credenziali associate agli accessi ai servizi bancari al dettaglio.
Log di Tier 3: Applicazioni per i consumatori
Gli autori delle minacce utilizzano questi log per accedere alle applicazioni VPN dei consumatori, ai servizi di streaming e ad altre applicazioni. Si tratta dei tronchi di minor valore, che in genere vengono venduti a un prezzo compreso tra 10 e 15 dollari per tronco.
Flare ha analizzato i 50 domini che ricorrono più frequentemente nel campione di log relativi al programma di furto di dati. Google, Gmail, Facebook e Microsoft figurano in cima all’elenco e sono spesso associati a registri relativi a programmi di furto di dati. Anche Amazone, Netflix, Instagram, PayPal e molte altre aziende si sono classificate ai primi posti della classifica.
Dove vengono distribuiti i tronchi di stealer?
I log relativi agli attacchi di furto sono suddivisi in quattro categorie, tra cui i canali Telegram pubblici dedicati ai log, i canali Telegram privati, Russian Market e Genesis Market.
- I canali pubblici di Telegram dedicati ai “log” sono canali Telegram accessibili a tutti che mettono a disposizione terabyte di log relativi a programmi di furto di dati ogni mese. Ciò comprende principalmente i registri di livello 3 .
- I canali privati di Telegram sono gestiti da soggetti malintenzionati per distribuire grandi quantità di log, con un modello di abbonamento mensile volto a monetizzare l’accesso. Si tratta in genere di log di valore più elevato; il canale è accessibile solo su invito e solitamente limitato a un numero compreso tra 25 e 30 utenti.
- Russian Market è un marketplace del dark web specializzato nella vendita di accessi a dispositivi e informazioni. Il forum stabilisce un prezzo unico per tutti i tronchi, pari a 10 dollari per tronco.
- Genesis Market operava come mercato “clear web” prima della sua recente chiusura da parte delle forze dell’ordine. Più recentemente ha operato interamente su Tor. Questo forum forniva dati di log più strutturati e analizzati e disponeva di un'interfaccia che consentiva agli autori delle minacce di clonare l'impronta digitale del browser di una vittima. I prezzi dei tronchi indicati in questo forum variavano a seconda del tronco.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“Negli ultimi anni sono state al centro dell’attenzione numerose campagne di furto di informazioni; non sorprende quindi che la ricerca di Flare abbia rilevato un numero così elevato di registri relativi a tali attacchi su varie piattaforme comunemente utilizzate dagli autori delle minacce.
Il rapporto di Flare non entra nei dettagli riguardo a quali log provengano da quale variante di infostealer; ciò è probabilmente dovuto al fatto che oggigiorno esistono moltissimi infostealer e che ne emergono regolarmente di nuovi. Anche senza queste informazioni, è sorprendente constatare quanto denaro un autore di minacce riesca a ricavare da una singola credenziale. Ciò mette in evidenza quanto siano redditizie queste operazioni per i criminali informatici.”
3. Google Gli annunci pubblicitari diffondono il nuovo malware Nitrogen per attacchi ransomware
Sophos ha pubblicato un rapporto su una nuova campagna di malware di accesso iniziale denominata “ ” (Nitrogen) , che sfrutta il malvertising e si spaccia per software legittimo al fine di infettare le vittime con payload di Cobalt Strike e ransomware. La campagna è di natura prevalentemente opportunistica e si rivolge agli utenti che effettuano ricerche su Google o Bing alla ricerca di specifici strumenti informatici.
Informazioni sulla famiglia di malware Nitrogen
Nel corso delle proprie indagini, Sophos ha individuato una nuova famiglia di malware di accesso iniziale denominata Nitrogen. Il nome “Nitrogen” deriva da alcuni elementi delle informazioni di debug rinvenute in molti dei campioni, il che indica che gli sviluppatori si riferiscono a questo progetto come “Nitrogen” o “Nitronet”.
I componenti principali utilizzano i seguenti nomi di classe: NitrogenStager, MsfPythonStager, NitronetNativeStager e NitroInstaller.
La catena di infezione ha inizio con la diffusione di pubblicità dannosa tramite annunci pubblicitari su Google o Bing. Cerca di attirare le vittime verso siti WordPress compromessi o pagine di phishing del tipo “ ”. Tali siti spesso si spacciano per siti di distribuzione di software al fine di indurre gli utenti a scaricare programmi di installazione di ISO contenenti trojan. Tali programmi di installazione procedono quindi a installare lateralmente la DLL dannosa NitrogenInstaller, che contiene un software legittimo App abbinato a un ambiente di esecuzione Python dannoso. La campagna installa una shell Meterpreter e dei beacon di Cobalt Strike sul sistema preso di mira.
La campagna sfrutta gli annunci pay-per-click di Google e Bing per simulare siti web. Sembra che l'attacco sia rivolto agli utenti del settore IT, poiché i siti contraffatti includono AnyDesk, WinSCP e i programmi di installazione della VPN Cisco AnyConnect . In un caso specifico viene inoltre utilizzato un programma di installazione infettato da un trojan per TreeSize Free.
- Esempio relativo a WinSCP: Quando un utente effettuava una ricerca su Google per WinSCP, veniva visualizzato un annuncio pubblicitario di Google che rimandava alla voce “Trasferimento sicuro dei file – per Windows” su una pagina di phishing che si spacciava per una guida destinata agli amministratori di sistema. Quando l'utente fa clic sull'annuncio pubblicitario presente in questa pagina, viene reindirizzato a una pagina di download fasulla di WinSCP e nel sistema viene installato un file dannoso denominato " ISO ".
- Esempio di Cisco AnyConnect: Oltre alle pagine di phishing, l’autore dell’attacco ha anche ospitato malware su siti WordPress compromessi. In un caso hanno utilizzato un sito compromesso per simulare il sito di download ufficiale di Cisco dedicato a Cisco AnyConnect. Il link per il download presente su questo sito reindirizzerebbe quindi a una pagina di phishing, scaricando il pacchetto dannoso Nitrogen.
Installazione parallela di DLL
Quando le vittime scaricano i programmi di installazione infettati dal trojan, questi vengono salvati sul computer infetto sotto forma di immagini denominat ISO . Questi file vengono quindi montati in Esplora Windows i e possono essere mappati su un'unità, dove il contenuto risulterà poi disponibile. Uno dei file contenuti nell'immagine “ ISO ” è lo strumento “ Windows ” msiexec.exe, rinominato install.exe o setup.exe.
Una volta eseguito, il codice provvederà a installare lateralmente il file msi.dll dannoso (noto anche come NitrogenInstaller), che è contenuto nella stessa immagine. In questa campagna, l’autore dell’attacco ricorre al proxy DLL, reindirizzando le funzioni esportate al file msi.dll legittimo.
NitrogenInstaller
Il file msi.dll caricato lateralmente, noto come NitrogenInstaller, installerà un programma di installazione pulito per l’applicazione legittima utilizzata come esca, insieme a due pacchetti Python: uno legittimo e uno dannoso. Il pacchetto Python autentico è necessario per eseguire il codice Python in una fase successiva della catena di infezione. Cercherà inoltre di elevare i propri privilegi eseguendo un bypass dell’UAC, una tecnica comune a diverse famiglie di malware e ransomware. La DLL NitrogenInstaller creerà quindi una chiave di esecuzione nel Registro di sistema per garantire la persistenza.
Per caricare la DLL NitrogenStager nel pacchetto Python dannoso, gli autori dell'attacco hanno sfruttato il precaricamento delle DLL. Ciò sfrutta l'ordine di ricerca delle DLL proprio di " Windows" quando un' App e tenta di caricare una libreria senza specificarne il percorso completo. NitrogenStager non è in grado di eseguire script Python poiché la sua funzione principale è stata sostituita da codice malevolo di ricollegamento.
C2 mise in scena
Il codice dannoso di ricollegamento contenuto nella funzione Py_Main verrà eseguito automaticamente al momento dell'esecuzione. Si è osservato che NitrogenStager si connette a C2 server utilizzando quattro diversi protocolli: TCP, TCP su SSL, HTTP e HTTPS. Il pacchetto contiene uno script separato per ciascun protocollo; ciascuno di essi è in grado di connettersi al server C2 , decodificare le risposte ed eseguirle.
Shell di Meterpreter
Lo script della fase successiva, scaricato dalla DLL NitrogenStager, è una versione personalizzata di uno script Meterpreter. Una volta eseguito, lo script Python stabilisce una shell TCP inversa Meterpreter, consentendo agli autori della minaccia di eseguire codice in remoto sul sistema.
Sessioni manuali
In un caso, gli autori dell’attacco hanno eseguito diversi comandi tramite la sessione aperta, passando a un’attività diretta sulla tastiera.
I comandi manuali hanno scaricato un file ZIP da un server C2 . Ha inoltre scaricato ed eseguito un ambiente Python aggiuntivo per richiamare una serie di script Python che comportano l'esecuzione in memoria dei beacon di Cobalt Strike. Sono stati inoltre eseguiti comandi manuali per effettuare la ricerca e l'enumerazione del dominio. Le presunte sessioni manuali fanno riferimento a script Python che gli autori della minaccia hanno scaricato da un server Cobalt Strike C2 .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il malvertising sta diventando piuttosto diffuso tra gli autori delle minacce in questo periodo, quindi è evidente che lo considerino un’attività redditizia.» Questa campagna di malware denominata “Nitrogen”, pur essendo ancora piuttosto opportunistica, prende di mira gli utenti alla ricerca di specifiche utility informatiche comunemente utilizzate nelle aziende.
Poiché questi annunci dannosi tendono a comparire come risultati sponsorizzati nei motori di ricerca, CTI raccomanda di evitare di cliccare sui risultati sponsorizzati, specialmente quando si cercano file da scaricare.”
Ha qualche informazione su queste notizie che desidera condividere? Visiti i siti , , il forum di discussione di Tanium,e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
