Nella carrellata di questa settimana, il team Tanium CTI esplora come gli attori delle minacce stiano sempre più abusando di strumenti legittimi per scopi dannosi. Esaminiamo quindi il recente aumento delle campagne ClickFix che coinvolgono il malware GHOSTPULSE, seguito da uno sguardo a una sofisticata intrusione attribuita al gruppo BlueNoroff.
Gli aggressori informatici sfruttano strumenti legittimi
Un recente post di Cisco Talos esplora come gli aggressori informatici stiano sfruttando sempre più strumenti legittimi per scopi dannosi. Questa tendenza in crescita evidenzia la necessità per le organizzazioni di monitorare i modelli di utilizzo degli strumenti e adottare strategie di rilevamento basate sul comportamento.
Cisco Talos inizia esaminando un esempio in cui un individuo è stato avvisato di un rilevamento dalla propria soluzione SIEM (Security Information and Event Management). Questo rilevamento è stato configurato per attivarsi quando strumenti di sistema specifici sono stati eseguiti in rapida successione. È stato attivato durante la notte, sollevando ulteriori sospetti. Il team è stato in grado di isolare i sistemi e tracciare l’attività.
Cosa sono i LOLBins?
Secondo Cisco Talos, gli attori delle minacce sfruttano spesso i cosiddetti LOLBins (Living off the Land Bin), strumenti preinstallati che possono essere sfruttati per eseguire azioni dannose senza dover scaricare o installare software aggiuntivo. Poiché questi strumenti sono già installati nei sistemi operativi e comunemente utilizzati per attività legittime, è difficile Detect abusi dannosi.
Al di fuori di LOLBins, gli attori stanno anche abusando di strumenti commerciali e open source. Un esempio è DonPAPI, uno strumento open source utilizzato per automatizzare il dumping delle credenziali da remoto. È stato osservato in più impegni.
[Leggi anche: 15 termini di sicurezza informatica che tu (e il tuo CEO) dovreste conoscere]
Tipi di strumenti comunemente utilizzati
Il rapporto Cisco Talos delinea gli strumenti più comunemente abusati oggi, tra cui:
- PsExec fa parte della suite di strumenti Sysinternals di Microsoft e consente agli utenti di eseguire comandi su sistemi locali e remoti. I gruppi di ransomware utilizzano spesso PsExec per eseguire payload su più sistemi all’interno di un dominio.
- Impacket è una libreria Python open source per gli audit di rete. Gli attori delle minacce spesso utilizzano Impacket per penetrare negli ambienti e spostarsi lateralmente tra gli ambienti.
- Mimikatz è un'utilità di download delle credenziali per estrarre password di testo normale. È comunemente usato dai penetration tester e dai red team. Tuttavia, i criminali informatici spesso utilizzano Mimikatz per recuperare gli accessi agli account e altre credenziali per consentire il movimento laterale.
Quando gli strumenti di gestione degli accessi remoti diventano vettori di minacce
Cisco Talos ha anche scoperto un aumento dell'abuso di strumenti di monitoraggio e gestione remota (RMM).
Questi strumenti sono in genere utilizzati dai team IT o dagli MSP per consentire l’accesso remoto ai sistemi per il supporto, anche se è facile presumere perché gli attori delle minacce sarebbero interessati a un facile accesso remoto. Gli aggressori stanno ora utilizzando questi strumenti per mantenere la persistenza ed evitare il rilevamento.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Diventa sempre più difficile distinguere tra attività amministrative legittime e comportamenti dannosi. Questa sfocatura delle linee rende meno efficace il rilevamento tradizionale basato sulle firme e più critici i rilevamenti basati sul comportamento e le anomalie.
Rimanere informati sugli ultimi abusi che coinvolgono strumenti open source e commerciali è la chiave per difendersi da questa minaccia.
Le campagne ClickFix continuano ad accelerare
Elastic Security Labs sta segnalando un aumento delle campagne ClickFix, in particolare quelle che sfruttano il caricatore di malware GHOSTPULSE per fornire trojan di accesso remoto (RAT) e infostealer. Sebbene ClickFix sia attivo dall’inizio del 2024, la sua attività si è recentemente intensificata.
Elastic ha descritto in dettaglio una campagna che ha mostrato l’intera catena di attacco, evidenziando i componenti coinvolti, le tecniche utilizzate e il malware in definitiva consegnato.
Cosa sono gli attacchi ClickFix?
Gli attacchi in stile ClickFix si basano sull’ ingegneria sociale, inducendo gli utenti a intraprendere azioni non sicure imitando processi legittimi per creare fiducia e abbassare le difese.
Ad esempio, questo tipo di attacco può apparire come un finto prompt CAPTCHA che chiede all’utente di incollare ed eseguire codice sul proprio dispositivo.
Come funzionano gli attacchi ClickFix?
Come sottolinea Elastic, ClickFix è spesso il punto di ingresso in una catena di attacchi multi-fase. In una campagna analizzata, la progressione del flusso di attacco era simile a questa:
Fase 1: Phishing con ClickFix
- L' attacco inizia con una pagina di phishing che imita un prompt di Cloudflare Captcha
- Le vittime vengono indotte a incollare ed eseguire codice PowerShell
- Questo codice scarica un file ZIP contenente i componenti per il caricatore GHOSTPULSE
Fase 2: attivazione del caricatore GHOSTPULSE
- Decrittografa un file inviato con il malware per la Fase 1
- Estrae il codice Stage 2 , che controlla i processi specifici in esecuzione
Fase 3: implementazione ARECHCLIENT2
- Si rivolge a password, cookie e dati di automazione memorizzati nel browser
- Esegue la profilazione e la ricognizione del sistema
- Esegue i comandi
Elastic ha stabilito che la pagina Captcha originale era ospitata sotto due domini, entrambi collegati a un’agenzia di pubblicità digitale. Ritengono che l’aggressore debba aver compromesso il server che ospita i domini per facilitare la loro attività.
Report CTI correlati su ClickFix
Per ulteriori informazioni su come ClickFix si è evoluto nelle recenti campagne, dai un'occhiata a questi ultimi CTI:
- Esplora come gli 30 aprile 2025 attori degli stati-nazione di Corea del Nord, Iran e Russia hanno recentemente adottato la tecnica ClickFix per diffondere malware attraverso l’ingegneria sociale
- Pubblicato 12 marzo 2025: evidenzia una campagna di phishing in stile ClickFix che utilizza SharePoint e Microsoft Graph API per distribuire furtivamente un agente Havoc Demon modificato
- Pubblicato 26 giugno 2024: Include approfondimenti su ClickFix utilizzato in campagne di phishing diffuse per distribuire malware come Vidar Stealer, con TA571 invio di oltre 100.000 e-mail utilizzando esche per documenti falsi
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo aumento di attacchi ClickFix rivela come si stanno evolvendo le tattiche di ingegneria sociale e di distribuzione del malware. Questa tecnica si basa sulla fiducia e la curiosità della vittima, che non solo la rende difficile da Detect, ma anche più probabilità di ingannare le vittime rispetto ai metodi che sono già istruiti e addestrati su.
Vale la pena notare che ClickFix non è utilizzato solo da criminali informatici di basso livello, ma anche da gruppi sponsorizzati dallo stato più sofisticati. I team di sicurezza sono incoraggiati a concentrarsi sulla formazione degli utenti e a utilizzare il rilevamento comportamentale per identificare le attività sospette.
BlueNoroff si rivolge ai dispositivi macOS
I ricercatori di Huntress hanno recentemente analizzato una sofisticata campagna di intrusione rivolta agli utenti macOS nello spazio Web3 . Huntress sta attribuendo la campagna al gruppo BlueNoroff.
L’attacco ha sfruttato l’ingegneria sociale e un’applicazione trojanizzata per distribuire malware in grado di furto di credenziali, sorveglianza e persistenza. Tutto è iniziato quando un aggressore ha indotto un dipendente a unirsi a una riunione Zoom fittizia popolata da deepfake della leadership senior dell’azienda.
[Leggi anche: Assumere lavoratori IT remoti? Attenzione alle frodi deepfake]
Sfruttare la fiducia: ottenere l’accesso tramite un falso invito a una riunione
Il contatto iniziale è arrivato tramite Telegram, dove l’aggressore, in posa come contatto esterno, ha invitato il dipendente a una conversazione dal vivo. Il messaggio includeva un link Calendly che sembrava pianificare una sessione di Google Meet ma invece reindirizzato a un dominio Zoom contraffatto.
Settimane dopo, quando il dipendente si è unito alla riunione, ha incontrato diversi deepfake di leader senior all’interno della propria azienda oltre al contatto esterno. I deepfakes hanno chiesto al dipendente di scaricare un’estensione Zoom perché il suo microfono non funzionava. Il file scaricato era un AppleScript che apriva la pagina web Zoom SDK legittima mentre scaricava silenziosamente un payload da un sito dannoso.
Secondo Huntress, questo script disabiliterà la registrazione della cronologia di bash, assicurerà che Rosetta 2 sia installato e tenterà di ottenere e verificare la password dell'utente. Alla fine, rimuoverà la cronologia delle shell per rendere più difficile l'analisi.
Analisi del malware: strumenti, tattiche e impianti
Huntress ha identificato diversi binari dannosi sull'host della vittima. Maggiori dettagli su ciascuno di questi binari possono essere trovati nel rapporto Huntress.
- Un binario
chiamato Telegram 2, scritto in Nim, agisce come meccanismo di persistenza e avvia la backdoor. È leggero e ha funzionalità limitate, in grado di eseguire comandi di eco, eseguire tramite/bin / bash, lanciare una shell interattiva e stabilire la persistenza. - Backdoor
Il Root Troy V4 (RTV), scritto in Go, esegue un payload AppleScript per scaricare un impianto aggiuntivo. Huntress ha osservato che questo comando veniva eseguito sei volte tra l’onboarding del dispositivo e l’isolamento dell’host. RTV supporta l'esecuzione di codice in modalità remota, anche durante la sospensione del sistema. - Caricatore con due payload aggiuntivi Un file binario denominato "a" viene scaricato tramite il payload AppleScript. Accetta un altro binario e una password come argomenti, decripta due payload incorporati e può sovrascrivere tutti i file nella directory corrente con zeri. In particolare, Huntress ha evidenziato la capacità di iniezione del processo in due parti, non comune su macOS, come caratteristica distintiva:
1. Il primo payload decrittato è un impianto basato su Nim utilizzato per la comunicazione di comando e controllo.2. La seconda è un’applicazione minimale basata su Swift, probabilmente utilizzata per supportare la funzionalità dell’impianto. - Keylogger
L'attaccante ha implementato XScreen, uno strumento per la registrazione delle chiavi, la registrazione dello schermo e l'acquisizione dei dati degli appunti. - L'infostealer
di airmond si rivolge ai portafogli di criptovaluta scansionando le estensioni del browser installate ed estraendo i dati associati. - Il binario
finale, NetChk, è quasi vuoto. Genera continuamente numeri casuali, probabilmente come esca per distrarre gli analisti durante le indagini.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
BlueNoroff ha sviluppato le sue tattiche per sfruttare l’ecosistema Web3 . La capacità del gruppo di creare e utilizzare malware macOS complesso dimostra ulteriormente la sua sofisticazione e l’investimento in funzionalità multipiattaforma.
È evidente che macOS sta diventando un obiettivo sempre più popolare, soprattutto per gli attori delle minacce avanzate. Oltre alle loro sofisticate tattiche tecniche, il gruppo si tiene aggiornato anche sulle attuali tendenze del paesaggio con l'uso di deepfake e ingegneria sociale avanzata.
Il rapporto di Huntress è molto più dettagliato per coloro che cercano un'analisi più tecnica.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium per iniziare una conversazione.
Per ulteriori letture, recupera i nostri recenti raggruppamenti di informazioni sulle minacce informatiche.
