Questa settimana CTI esamina le campagne e-mail che sfruttano un toolkit di phishing-as-a-service (PhaaS) denominato Rockstar 2FA. CTI analizza ora RevC2 e Venom Loader, due nuove famiglie di malware utilizzate in campagne condotte tra agosto e il ottobre 2024. Infine, CTI analizza un recente attacco che ha coinvolto il famigerato malware SmokeLoader.
"Rockstar 2FA " è rivolto agli utenti di " Microsoft " 365
Trustwave mette in guardia da campagne di e-mail che sfruttano Rockstar 2FA, che rappresenta una versione aggiornata del servizio di phishing DadSec/Phoenix.
La campagna sfrutta una tecnica di tipo “adversary-in-the-middle” (AiTM) di tipo “ ” per sottrarre credenziali e cookie, rendendo così vulnerabili agli attacchi i sistemi protetti da autenticazione a più fattori (MFA).
Panoramica della campagna
I ricercatori di Trustwave hanno monitorato un’ampia campagna di phishing che ha raggiunto il picco nel mese di agosto 2024 ed è tuttora attiva. La campagna sfrutta un attacco AiTM che consente all’autore dell’attacco di intercettare credenziali e cookie. Questa campagna prende di mira gli account degli utenti di Microsoft che presentano pagine che imitano la pagina di accesso di Microsoft 365 . Trustwave rileva che questa campagna comprende pagine web dedicate al mondo dell’auto, il che ha permesso loro di individuare oltre 5.000 domini dedicati al mondo dell’auto collegati alla campagna.
Rockstar 2FA PhaaS
La campagna è collegata al kit di phishing Rockstar 2FA . Le attività di marketing e comunicazione relative a Rockstar 2FA sono state rilevate su ICQ, Telegram e Mail[.]ru. Il kit di phishing offre funzionalità quali l’aggiramento dell’autenticazione a più fattori, la raccolta di dati tramite “ Cookie ”, la protezione anti-bot, temi di accesso, codice sorgente e allegati casuali, link completamente non rilevabili (FUD) e altro ancora.
Campagne via e-mail
Le e-mail di queste campagne vengono inviate in diversi modi, tra cui account compromessi, strumenti di spamming e l’uso improprio di piattaforme legittime. L'autore del reato ricorre a una serie di temi e esche nelle e-mail, tra cui notifiche relative alla condivisione di documenti e file, messaggi riguardanti le risorse umane e le buste paga, comunicazioni del reparto informatico, avvisi relativi alle password e altro ancora.
Trustwave ha osservato che l’autore dell’attacco utilizzava varie tecniche per eludere i sistemi di rilevamento antispam, quali l’offuscamento, i link FUD e i codici QR, tra le altre. I link contenuti nelle e-mail rimandano a una pagina di destinazione di phishing o a un sito dedicato alle automobili, a seconda della risposta fornita dal server AiTM. I visitatori della pagina ricevono una richiesta di autenticazione Cloudflare Turnstile, che gli autori di attacchi utilizzano spesso per eludere le analisi automatizzate.
Pagina di phishing AiTM
La pagina di phishing viene visualizzata dopo aver superato la verifica di Cloudflare Turnstile. Trustwave ritiene che siano in atto dei controlli volti a stabilire se all’utente debba essere mostrata la pagina di phishing o la pagina esca a tema automobilistico.
La pagina di phishing raccoglierà i dati inseriti dall'utente e li invierà al server AiTM. Tali credenziali possono quindi essere utilizzate per ottenere l' Cookie di sessione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Trustwave riassume efficacemente la gravità di questa minaccia, affermando che «gli attacchi di phishing di tipo generico, quali le campagne collegate alla piattaforma PaaS Rockstar 2FA , continuano a essere diffusi a causa del loro basso costo e della facilità di implementazione».
L’autore di queste campagne sta utilizzando Rockstar 2FA oltre alla tecnica AiTM, il che aumenta le sue probabilità di successo e apre la strada a futuri attacchi mediante credenziali rubate. In prospettiva, il toolkit Rockstar 2FA sarà oggetto di ulteriori aggiornamenti e troverà ulteriori applicazioni.
Gli autori delle minacce distribuiscono RevC2and esemplari del malware Venom Loader
Zscaler ha individuato due nuove famiglie di malware, RevC2 e Venom Loader, che sono state utilizzate in campagne condotte tra agosto e ottobre 2024.
Entrambe le famiglie di malware sono state diffuse tramite strumenti di tipo “malware-as-a-service” (MaaS) da un attore noto come Venom Spider. La famiglia dei Venom Loader viene personalizzata per ciascuna vittima.
Campagna 1: la documentazione API genera RevC2 risultati
La prima campagna si è svolta tra agosto e settembre e ha utilizzato come esca la documentazione di un’API per veicolare il proprio payload (RevC2). Le modalità di diffusione rimangono sconosciute, ma la prima fase dell’attacco ha inizio con un file denominato VenomLNK. Questo file contiene uno script batch che provvederà a scaricare un file immagine che funge da esca per la documentazione dell'API.
VenomLNK eseguirà un comando per avviare l'esecuzione di RevC2. RevC2 eseguirà il software dannoso solo se supererà una serie di controlli che dimostrino che non è in esecuzione in un ambiente sandbox. RevC2 utilizzerà inoltre i WebSocket per la comunicazione con C2 . Il malware è in grado di compiere numerose azioni, tra cui rubare password, eseguire comandi della shell, acquisire schermate, instradare il traffico tramite proxy, rubare cookie ed eseguire comandi con l’identità di un altro utente.
Campagna 2: l’esca delle criptovalute porta al Venom Loader
La seconda campagna si è svolta da settembre a ottobre e ha utilizzato come esca una transazione in criptovaluta per diffondere Venom Loader. Venom Loader, a sua volta, caricherà una backdoor JavaScript denominata More_eggs lite. Ciò consentirà all'autore dell'attacco di eseguire codice in remoto.
Come nel caso della prima campagna, non si conosce il metodo di distribuzione. Tuttavia, i ricercatori hanno confermato che la prima fase dell’attacco ha inizio con il file VenomLNK, il quale contiene uno script batch offuscato e provvede a scaricare e visualizzare l’immagine utilizzata come esca per il crypto. Il malware scarica un file zip, lo decomprime e installa lateralmente una DLL dannosa che eseguirà Venom Loader.
La DLL viene creata su misura per ciascuna delle vittime, utilizzando l’ Computer Name e della vittima per codificare il payload. Venom Loader viene quindi utilizzato per caricare la backdoor More_eggs lite, la quale invierà richieste HTTP POST in modo ciclico al C2.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La famiglia di malware Venom Loader è particolarmente interessante in quanto viene personalizzata per ciascuna vittima, cosa che non è molto comune.
È possibile che si assista alla comparsa di ulteriori autori di minacce che utilizzano queste due famiglie di malware, considerando che sono state diffuse tramite gli strumenti MaaS di Venom Spider, molto diffusi tra i gruppi di hacker più noti. Come sottolinea Zscaler, è inoltre probabile che queste famiglie di malware si evolvano fino a includere funzionalità aggiuntive.
Il malware SmokeLoader riappare dopo un periodo di calo
I ricercatori hanno recentemente osservato un attacco che ha utilizzato il famigerato malware SmokeLoader di .
L'attività di SmokeLoader era diminuita in modo significativo dopo che, nel maggio 2024, l'Europol aveva smantellato l'infrastruttura di diverse importanti famiglie di malware, rendendo quindi degna di nota la ricomparsa di tale malware.
Panoramica e sequenza dell'attacco
Nel mese di settembre, Fortinet ha rilevato la campagna SmokeLoader rivolta alle aziende di Taiwan. Sono state prese di mira aziende operanti in diversi settori verticali, tra cui quello sanitario, manifatturiero, informatico e altri.
Il malware SmokeLoader è noto per la sua versatilità e per le sue tecniche di elusione. Il malware funge da downloader per distribuire ulteriori malware e, in questo caso, scarica dei plugin dal proprio server C2 .
SmokeLoader e il phishing
L'attacco ha inizio con un'e-mail di phishing che contiene un allegato. Il file allegato si presenta come un preventivo contenente istruzioni particolari. Fortinet ritiene che tali e-mail possano essere state copiate da qualche altra fonte, poiché il nome del destinatario non viene modificato quando vengono inviate ad altre organizzazioni. Inoltre, la firma dell'e-mail presenta un carattere, un colore e un numero di telefono diversi rispetto al corpo del messaggio.
Sfruttamento delle vulnerabilità
La catena di attacco sfrutterà inizialmente diverse vulnerabilità, ma porterà comunque ad AndeLoader. La prima vulnerabilità rilevata è la CVE-2017-0199 , ovvero una vulnerabilità di Office relativa a Microsoft che sfrutta un oggetto collegamento OLE2-embedded . L'altra vulnerabilità, la CVE-2017-11882, è una vulnerabilità di Office di tipo " Microsoft " che consente l'esecuzione di codice da remoto.
AndeLoader
L'autore del codice finisce per utilizzare AndeLoader, indipendentemente dalla vulnerabilità che sfrutta. Questo malware parte da un file VBS pieno di codice inutile, utilizzato per nascondere il vero codice dannoso. Questo codice scaricherà un file JPG steganografico contenente i dati dell'iniettore. L'iniettore è semplice e non è occultato. Esso garantirà la persistenza ed eseguirà l'iniezione per SmokeLoader.
I plugin di SmokeLoader
Il server C2 dell’attore distribuisce nove plugin, tra cui tre plugin singoli e tre che contengono versioni a 32 bit e a 64 bit. I plugin consentono all’autore dell’attacco di sottrarre credenziali di accesso, credenziali FTP, indirizzi e-mail, cookie e altro ancora da vari browser web, da Outlook, Thunderbird, FileZilla e WinSCP.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
SmokeLoader si è sempre contraddistinto per la sua avanzatezza e la sua flessibilità. Le osservazioni di Fortinet dimostrano ulteriormente la sofisticatezza del malware, soprattutto se si considera che parte della sua infrastruttura (oltre 1.000 domini C2 ) era già stata smantellata in precedenza dalle forze dell’ordine.
Detto questo, questa campagna si basa su vulnerabilità risalenti a qualche anno fa, il che rende discutibile il suo livello complessivo di efficacia. Sarà interessante vedere se, con il passare del tempo, SmokeLoader inizierà a sfruttare exploit più recenti.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium, e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
