Questa settimana CTI esamina le campagne e-mail che sfruttano un toolkit phishing-as-a-service (PhaaS) chiamato Rockstar 2FA. CTI indaga su RevC2 e Venom Loader, due nuove famiglie di malware implementate nelle campagne tra agosto e ottobre 2024. Infine, CTI esplora un recente attacco che coinvolge il famigerato malware SmokeLoader.
Rockstar 2FA si rivolge agli utenti di Microsoft 365
Trustwave mette in guardia sulle campagne email che sfruttano Rockstar 2FA, che è una versione aggiornata del servizio di phishing DadSec/Phoenix.
La campagna fa leva su una tecnica AiTM (adversary-in -the-middle) per rubare credenziali e cookie, il che rende vulnerabili agli attacchi protetti da MFA.
Panoramica della campagna
I ricercatori di Trustwave hanno monitorato una grande campagna di phishing che ha raggiunto il picco agosto 2024 ed è ancora attiva oggi. La campagna sfrutta un attacco AiTM che consente all'attore di intercettare credenziali e cookie. Questa campagna si rivolge agli account utente Microsoft con pagine che imitano l'accesso a Microsoft 365 . Trustwave osserva che questa campagna include pagine web a tema automobilistico, che li portano a identificare più di 5.000 domini a tema automobilistico collegati alla campagna.
Rockstar 2FA PhaaS
La campagna è associata al kit di phishing Rockstar 2FA . Il marketing e le comunicazioni per Rockstar 2FA sono stati osservati su ICQ, Telegram e Mail[.]ru. Il kit di phishing è dotato di bypass multifattore, raccolta di Cookie , protezione antibot, temi di accesso, codice sorgente e allegati randomizzati, collegamenti completamente non rilevabili (FUD) e altro ancora.
Campagne e-mail
Le e-mail in queste campagne vengono consegnate in diversi modi, tra cui account compromessi, strumenti di spamming e abuso di piattaforme legittime. L’attore utilizza una serie di temi e attrattive nelle e-mail, tra cui notifiche di condivisione di documenti e file, messaggi relativi a risorse umane/payroll, notifiche del reparto IT, avvisi relativi alle password e altro ancora.
Trustwave ha osservato l'attore utilizzando varie tecniche per bypassare i rilevamenti antispam come offuscamento, collegamenti FUD e codici QR, tra gli altri. I collegamenti nelle e-mail portano a una pagina di destinazione di phishing o a un sito a tema automobilistico a seconda della risposta del server AiTM. I visitatori della pagina ricevono una sfida di Cloudflare Turnstile, che gli attori spesso usano per eludere l'analisi automatizzata.
Pagina di phishing AiTM
La pagina di phishing viene recuperata dopo aver affrontato la sfida di Cloudflare Turnstile. Trustwave ritiene che ci siano controlli in atto per determinare se la pagina di phishing o la pagina di esca a tema automobilistico debba essere visualizzata all'utente.
La pagina di phishing raccoglierà i dati inseriti dall’utente e li invierà al server AiTM. Queste credenziali possono quindi essere utilizzate per ottenere il Cookie di sessione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Trustwave riassume bene la gravità di questa minaccia, affermando che “gli attacchi di phishing di merci, come le campagne collegate alla piattaforma PaaS Rockstar 2FA , continuano ad essere prevalenti a causa del loro basso costo e della facilità di distribuzione”.
L'attore dietro queste campagne sta usando Rockstar 2FA in aggiunta alla tecnica AiTM, che aumenta le sue possibilità di successo e apre la strada a futuri attacchi utilizzando credenziali rubate. Guardando al futuro, il toolkit Rockstar 2FA riceverà ulteriori aggiornamenti e utilizzo.
Gli attori delle minacce distribuiscono RevC2and malware Venom Loader
Zscaler ha identificato due nuove famiglie di malware, RevC2 e Venom Loader, che sono state implementate nelle campagne tra agosto e ottobre 2024.
Entrambe le famiglie di malware sono state distribuite tramite strumenti malware-as-a-service (MaaS) da un attore noto come Venom Spider. La famiglia Venom Loader è personalizzata per ogni vittima.
Campagna 1: risultati del richiamo della documentazione API in RevC2
La prima campagna ha avuto luogo tra agosto e settembre e ha utilizzato un'esca di documentazione API per fornire il suo carico utile (RevC2). La distribuzione rimane sconosciuta, ma la prima fase dell'attacco inizia con un file chiamato VenomLNK. Questo file contiene uno script batch che scaricherà un file immagine che è l'esca della documentazione API.
VenomLNK eseguirà un comando per attivare l'esecuzione di RevC2. RevC2 eseguirà il software dannoso solo se vengono superati vari controlli che rivelano che non è in esecuzione in un ambiente sandbox. RevC2 utilizzerà anche WebSockets per C2 comunicazioni. Il malware è in grado di molte cose, tra cui rubare password, eseguire comandi di shell, prendere screenshot, proxying del traffico, rubare cookie ed eseguire comandi come un utente diverso.
Campagna 2: l'esca di criptovalute si traduce in Venom Loader
La seconda campagna si è svolta da settembre a ottobre e ha utilizzato un’esca per le transazioni crittografiche per consegnare Venom Loader. Venom Loader, a sua volta, caricherà una backdoor JavaScript chiamata More_eggs lite. Ciò fornirà all'attore funzionalità di esecuzione del codice da remoto.
Come per la prima campagna, il metodo di distribuzione è sconosciuto. Tuttavia, i ricercatori hanno confermato che la prima fase dell'attacco inizia con il file VenomLNK che contiene uno script batch offuscato e scarica e visualizza l'immagine dell'esca crittografica. Il malware scarica un file zip, lo decomprime e carica un DLL dannoso che eseguirà Venom Loader.
La DLL è costruita su misura per ciascuna delle vittime, utilizzando il Computer Name computer della vittima per codificare il carico utile. Venom Loader viene quindi utilizzato per caricare la backdoor More_eggs lite che invierà le richieste HTTP POST in un ciclo a C2.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La famiglia di malware Venom Loader è particolarmente interessante poiché è personalizzata per ogni vittima, il che non è molto comune.
È possibile che vedremo altri attori di minacce che utilizzano queste due famiglie di malware, se si considera che sono stati distribuiti tramite gli strumenti MaaS Venom Spider, che sono popolari tra i gruppi di minacce noti. Come sottolinea Zscaler, è anche probabile che queste famiglie di malware si evolveranno per includere funzionalità aggiuntive.
Il malware SmokeLoader riappare dopo un declino
I ricercatori hanno recentemente osservato un attacco che utilizzava il famigerato malware SmokeLoader.
L’attività di SmokeLoader è diminuita significativamente dopo che Europol ha abbattuto l’infrastruttura di diverse importanti famiglie di malware nel , rendendo degna di nota la rinascita maggio 2024del malware.
Panoramica e flusso di attacco
A settembre, Fortinet ha osservato la campagna SmokeLoader rivolta alle aziende di Taiwan. Le aziende di più settori verticali sono state attaccate, tra cui sanità, produzione, IT e altri settori.
Il malware SmokeLoader è noto per la sua versatilità e le tecniche di evasione. Il malware funge da downloader per fornire malware aggiuntivo e, in questo caso, scarica plugin dal suo server C2 .
SmokeLoader e phishing
L’attacco inizia con un’e-mail di phishing che contiene un allegato. Il file allegato finge di essere un preventivo che include istruzioni speciali. Fortinet ritiene che queste e-mail possano essere state copiate da qualche parte perché il nome del destinatario non viene modificato quando vengono inviate ad altre organizzazioni. Inoltre, la firma dell’e-mail ha un carattere, un colore e un numero di telefono diversi dal corpo dell’e-mail.
Sfruttare le vulnerabilità
La catena di attacco inizialmente utilizzerà diverse vulnerabilità, ma finirà comunque in AndeLoader. La prima vulnerabilità che viene osservata è CVE-2017-0199 , che è una vulnerabilità di Microsoft Office che sfrutterà un oggetto di collegamento OLE2-embedded . L'altra vulnerabilità, CVE-2017-11882, è una vulnerabilità di esecuzione di codice remoto di Microsoft Office.
AndeLoader
L'attore finisce per utilizzare AndeLoader, indipendentemente dalla vulnerabilità che usano. Questo malware inizia con un file VBS pieno di codice spazzatura per nascondere il vero codice dannoso. Questo codice scaricherà un file JPG steganografico contenente i dati dell'iniettore. L'iniettore è semplice e non offuscato. Stabilirà la persistenza ed eseguirà l’iniezione per SmokeLoader.
Plugin di SmokeLoader
Il server C2 dell'attore distribuisce nove plugin, che includono tre singoli plugin e tre contenenti versioni a 32 bit e 64 bit. I plugin consentono all'attore di rubare credenziali di accesso, credenziali FTP, indirizzi e-mail, cookie e altro da vari browser Web, Outlook, Thunderbird, FileZilla e WinSCP.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
SmokeLoader è sempre stato avanzato e adattabile. Fortinet’s observations further demonstrate the malware’s sophistication, especially as part of its infrastructure (1,000+ C2 domains) were previously taken down by law enforcement.
Detto questo, questa campagna si basa su vulnerabilità che hanno alcuni anni, il che rende discutibile il suo livello complessivo di successo. Sarà interessante vedere se SmokeLoader inizierà a sfruttare exploit più recenti con il passare del tempo.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium e inizia una conversazione.
Per ulteriori letture, recupera i nostri recenti raggruppamenti di informazioni sulle minacce informatiche.
