Nella rassegna di questa settimana, il team CTI dell’ Tanium a come gli autori delle minacce stiano abusando sempre più spesso di strumenti legittimi per scopi dannosi. Esaminiamo quindi la recente ondata di campagne ClickFix che coinvolgono il malware GHOSTPULSE, per poi passare ad analizzare un’intrusione sofisticata attribuita al gruppo BlueNoroff.
Gli autori degli attacchi informatici sfruttano strumenti legittimi
Un recente articolo pubblicato da Cisco Talos analizza il modo in cui i cyber-aggressori sfruttano sempre più spesso strumenti legittimi per scopi malevoli. Questa tendenza in crescita evidenzia la necessità per le organizzazioni di monitorare i modelli di utilizzo degli strumenti e di adottare strategie di rilevamento basate sul comportamento.
Cisco Talos inizia illustrando un esempio in cui un utente è stato avvisato di un rilevamento effettuato dalla propria soluzione di gestione delle informazioni e degli eventi di sicurezza (SIEM). Tale rilevamento è stato configurato in modo da attivarsi quando determinati strumenti di sistema venivano eseguiti in rapida successione. È stato attivato durante la notte, alimentando ulteriori sospetti. Il team è riuscito a isolare i sistemi e a monitorarne l'attività.
Cosa sono i LOLBin?
Secondo Cisco Talos, gli autori delle minacce ricorrono spesso ai file binari “living off the land” (LOLBins), ovvero strumenti preinstallati che possono essere sfruttati per eseguire azioni dannose senza dover scaricare o installare software aggiuntivo. Poiché tali strumenti sono già installati nei sistemi operativi e vengono comunemente utilizzati per attività legittime, è difficile Detect individuarne un uso improprio a fini malevoli.
Oltre a LOLBins, gli autori degli attacchi stanno abusando anche di strumenti commerciali e open source. Un esempio è DonPAPI, uno strumento open source utilizzato per automatizzare l’estrazione remota delle credenziali. Tale fenomeno è stato osservato in diversi contesti.
Tipi di strumenti comunemente utilizzati in modo improprio
Il rapporto Cisco Talos illustra gli strumenti più comunemente utilizzati a fini illeciti al giorno d’oggi, tra cui:
- PsExec fa parte della suite di strumenti Sysinternals di Microsoft e consente agli utenti di eseguire comandi sia su sistemi locali che remoti. I gruppi che utilizzano ransomware ricorrono spesso a PsExec per eseguire payload su più sistemi all’interno di un dominio.
- Impacket è una libreria Python open source destinata alle verifiche di rete. Gli autori delle minacce utilizzano spesso Impacket per penetrare negli ambienti e spostarsi lateralmente al loro interno.
- Mimikatz è un’utilità per il dumping delle credenziali che consente di estrarre le password in testo semplice. È comunemente utilizzato dai penetration tester e dai red team. Tuttavia, i criminali informatici utilizzano spesso Mimikatz per sottrarre credenziali di accesso agli account e altre credenziali, al fine di consentire un movimento laterale all’interno di un e.
Quando gli strumenti di gestione dell’accesso remoto diventano vettori di minaccia
Cisco Talos ha inoltre rilevato un aumento dei casi di uso improprio degli strumenti di monitoraggio e gestione remota (RMM).
Questi strumenti vengono solitamente utilizzati dai team IT o dagli MSP per consentire l’accesso remoto ai sistemi a fini di assistenza, sebbene sia facile intuire perché gli autori delle minacce possano essere interessati a un accesso remoto agevole. Gli autori degli attacchi stanno ora utilizzando questi strumenti per mantenere la persistenza ed eludere il rilevamento.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sta diventando sempre più difficile distinguere tra attività amministrativa legittima e comportamenti dolosi. Questa sfocatura dei confini rende meno efficace il rilevamento tradizionale basato sulle firme e conferisce maggiore importanza al rilevamento basato sul comportamento e a quello delle anomalie.
Rimanere informati sugli ultimi casi di abuso che coinvolgono strumenti open source e commerciali è fondamentale per difendersi da questa minaccia.
Le campagne ClickFix continuano a prendere slancio
Elastic Security Labs segnala un aumento delle campagne ClickFix, in particolare quelle che sfruttano il loader malware GHOSTPULSE per diffondere trojan di accesso remoto (RAT) e programmi di furto di dati. Sebbene ClickFix sia attivo sin dai primi anni del 2024, la sua attività si è recentemente intensificata.
Elastic ha illustrato una campagna che ha messo in luce l’intera catena di attacco, evidenziandone i componenti coinvolti, le tecniche utilizzate e il malware infine diffuso.
Cosa sono gli attacchi ClickFix?
Gli attacchi di tipo “ClickFix” si basano su tecniche di ingegneria sociale di tipo “ ”, che inducono gli utenti a compiere azioni pericolose imitando processi legittimi, al fine di conquistare la loro fiducia e abbassare le loro difese.
Ad esempio, questo tipo di attacco può presentarsi sotto forma di una finta richiesta CAPTCHA che invita l’utente a incollare ed eseguire del codice sul proprio dispositivo.
Come funzionano gli attacchi ClickFix?
Come sottolinea Elastic, ClickFix rappresenta spesso il punto di ingresso in una catena di attacchi a più fasi. In una delle campagne analizzate, la sequenza dell’attacco si è svolta come segue:
Fase 1: Phishing con ClickFix
- L'attacco " " ha inizio con una pagina di phishing che imita una richiesta Captcha di Cloudflare
- Le vittime vengono indotte con l'inganno a incollare ed eseguire un codice di tipo “ PowerShell ”
- Questo codice scarica un file ZIP contenente i componenti per il caricatore GHOSTPULSE
Fase 2: Attivazione del caricatore GHOSTPULSE
- Decifra un file inviato insieme al malware per la Fase 1
- Estrae il codice Stage 2 , che verifica la presenza di specifici processi in esecuzione
Fase 3: implementazione ARECHCLIENT2
- Prende di mira le password, i cookie e i dati di automazione memorizzati nel browser
- Esegue la profilazione e la ricognizione del sistema
- Esegue i comandi
Elastic ha accertato che la pagina Captcha originale era ospitata su due domini, entrambi collegati a un’agenzia di pubblicità digitale. Ritengono che l'autore dell'attacco debba aver compromesso il server che ospita i domini per facilitare la propria attività.
Rapporti CTI correlati su ClickFix
Per ulteriori informazioni sull’evoluzione di ClickFix nel corso delle recenti campagne, vi invitiamo a consultare queste precedenti raccolte di CTI:
- Pubblicato su 30 aprile 2025: Analizza come attori statali provenienti dalla Corea del Nord, dall’Iran e dalla Russia abbiano recentemente adottato la tecnica ClickFix per diffondere malware tramite tecniche di ingegneria sociale
- Pubblicato su 12 marzo 2025: . L’articolo mette in evidenza una campagna di phishing in stile ClickFix che utilizza SharePoint e l’API Graph di Microsoft per distribuire in modo occulto un agente Havoc Demon modificato.
- Pubblicato su 26 giugno 2024: . L’articolo fornisce approfondimenti sull’utilizzo di ClickFix in campagne di phishing su larga scala per diffondere malware come Vidar Stealer, con TA571 che ha inviato oltre 100.000 e-mail utilizzando documenti falsi come esca.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo aumento degli attacchi ClickFix evidenzia come si stiano evolvendo le tattiche di ingegneria sociale e di diffusione di malware. Questa tecnica fa leva sulla fiducia e sulla curiosità della vittima, il che non solo rende difficile il suo Detect, ma aumenta anche la probabilità di ingannare le vittime rispetto ai metodi sui quali sono già state istruite e addestrate.
È opportuno sottolineare che ClickFix non viene utilizzato solo da criminali informatici di basso livello, ma anche da gruppi più sofisticati finanziati da Stati. Si incoraggiano i team di sicurezza a concentrarsi sulla formazione degli utenti e a ricorrere al rilevamento comportamentale per individuare attività sospette.
BlueNoroff si rivolge ai dispositivi macOS
I ricercatori di Huntress hanno recentemente analizzato una sofisticata campagna di intrusione rivolta agli utenti macOS nell’area Web3 . Huntress attribuisce la campagna al gruppo BlueNoroff.
L'attacco ha sfruttato tecniche di ingegneria sociale e un'applicazione infettata da un trojan per distribuire malware in grado di sottrarre credenziali, effettuare attività di sorveglianza e garantire la propria persistenza. Tutto è iniziato quando un malintenzionato ha indotto con l’inganno un dipendente a partecipare a una riunione Zoom contraffatta, in cui erano presenti immagini deepfake dei vertici aziendali.
Sfruttare la fiducia: ottenere l’accesso tramite un invito a una riunione fasullo
Il primo contatto è avvenuto tramite Telegram, dove l’autore dell’attacco — spacciandosi per un contatto esterno — ha invitato il dipendente a una conversazione in tempo reale. Il messaggio conteneva un link a Calendly che sembrava servire a fissare una riunione su Google , ma che invece reindirizzava a un dominio Zoom contraffatto.
Qualche settimana dopo, quando il dipendente si è collegato alla riunione, si è trovato di fronte a diversi deepfake raffiguranti i vertici della propria azienda, oltre al contatto esterno. I deepfake hanno chiesto al dipendente di scaricare un’estensione di Zoom poiché il suo microfono non funzionava. Il file scaricato era uno script AppleScript che apriva la pagina web ufficiale dell’SDK di Zoom, scaricando nel contempo, in modo invisibile, un payload da un sito dannoso.
Secondo Huntress, questo script disattiverà la registrazione della cronologia di bash, verificherà che Rosetta 2 sia installato e tenterà di ottenere e verificare la password dell’utente. Alla fine, cancellerà la cronologia della shell per rendere più difficile l'analisi.
Analisi del malware: strumenti, tattiche e impianti
Huntress ha individuato diversi file binari dannosi sull’host della vittima. Maggiori dettagli su ciascuno di questi binari sono disponibili all’indirizzo nel rapporto Huntress.
- Implant persistente
Un file binario denominato “Telegram 2”, scritto in Nim, funge da meccanismo di persistenza e avvia la backdoor. È leggero e presenta funzionalità limitate: è in grado di eseguire comandi Echo, di operare tramite/bin/bash, di avviare una shell interattiva e di garantire la persistenza. - Backdoor
Il backdoor Root Troy V4 (RTV), scritto in Go, esegue un payload AppleScript per scaricare un implant aggiuntivo. Huntress ha rilevato che questo comando è stato eseguito sei volte nel periodo compreso tra l’integrazione del dispositivo e l’isolamento dell’host. RTV consente l'esecuzione remota di codice, anche durante la modalità di sospensione del sistema. - Loader con due payload aggiuntivi Un file binario denominato “a” viene scaricato tramite il payload AppleScript. Accetta come argomenti un altro file binario e una password, decrittografa due payload incorporati ed è in grado di sovrascrivere tutti i file presenti nella directory corrente con zeri. In particolare, Huntress ha evidenziato la funzionalità di iniezione in due fasi — piuttosto rara su macOS — come una caratteristica di spicco:
1. Il primo payload decriptato è un implant basato su Nim utilizzato per le comunicazioni di comando e controllo.2. La seconda è un'applicazione minimale basata su Swift, probabilmente utilizzata per supportare le funzionalità dell'impianto. - Keylogger
L'autore dell'attacco ha installato XScreen, uno strumento per la registrazione dei tasti digitati, la registrazione dello schermo e l'acquisizione dei dati presenti negli appunti. - , un programma di furto di informazioni
Il programma di furto di informazioni airmond prende di mira i portafogli di criptovalute, analizzando le estensioni installate nei browser ed estraendo i dati associati. - File binario esca
Il file binario finale, NetChk, è quasi vuoto. Genera continuamente numeri casuali — probabilmente come diversivo per distrarre gli analisti durante le indagini.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
BlueNoroff ha affinato le proprie strategie per sfruttare l'ecosistema Web3 . La capacità del gruppo di creare e utilizzare malware complesso per macOS dimostra ulteriormente la sua sofisticatezza e il suo impegno nello sviluppo di funzionalità multipiattaforma.
È evidente che macOS stia diventando un bersaglio sempre più diffuso, soprattutto per gli autori di minacce più sofisticati. Oltre alle sofisticate tattiche tecniche, il gruppo si mantiene al passo con le attuali tendenze del panorama informatico grazie all’uso dei deepfake e di tecniche avanzate di ingegneria sociale.
Il rapporto di Huntress, disponibile all’indirizzo , è molto più dettagliato per chi è alla ricerca di un’analisi più tecnica.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
