Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza SantaStealer, un nuovo malware-as-a-service di tipo infostealer lanciato di recente e ora in circolazione. Successivamente, il team esamina BlackForce, un kit di phishing avanzato che prende di mira i principali marchi. Infine, concludiamo con una panoramica su Ink Dragon, un gruppo di spionaggio informatico legato alla Cina.
SantaStealer si diffonde tramite Telegram e forum clandestini
Rapid7 sta fornendo ulteriori dettagli su SantaStealer, un nuovo malware-as-a-service di tipo infostealer progettato per sottrarre credenziali, dati del browser, portafogli digitali e altro ancora tramite plugin modulari e tecniche residenti in memoria. Secondo Rapid7, SantaStealer è ora pronto per l’uso in ambiente di produzione e si sta diffondendo in rete.
Sebbene vengano commercializzati come prodotti altamente occulti, Rapid7 ritiene che gli attuali campioni presentino un livello insufficiente di offuscamento e di sicurezza operativa, il che li rende più facili da Detect nonostante le affermazioni ambiziose.
Scoperta
Rapid7 ha inizialmente individuato il malware SantaStealer pubblicizzato su forum clandestini.
I ricercatori di Rapid7 hanno analizzato un file eseguibile denominato “ Windows ” che ha attivato una regola generica relativa a un programma di furto di informazioni. La loro analisi ha portato alla luce una DLL che presentava oltre 500 simboli esportati e numerose stringhe non crittografate relative al furto di credenziali. Alcuni dei simboli presenti nella DLL li hanno condotti a una stringa contenente una configurazione codificata con il metodo " JSON". Tale configurazione comprendeva un banner con la scritta “SANTA STEALER” e un link al canale Telegram corrispondente.
Andando oltre, Rapid7 ha esaminato il canale Telegram di SantaStealer. I ricercatori hanno individuato il pannello web di affiliazione e hanno creato un account per approfondire le loro conoscenze sul malware. Il pannello web illustra un elenco di funzionalità a disposizione degli affiliati a seconda che abbiano sottoscritto il piano base o quello premium.
I campioni di SantaStealer analizzati da Rapid7 sembrano discostarsi da molte delle affermazioni pubblicizzate dagli operatori. Ciò ha portato i ricercatori a ritenere che il malware sia probabilmente ancora in fase di sviluppo e che i primi campioni possano essere stati diffusi per errore.
Dettagli tecnici
Rapid7 ha approfondito dal punto di vista tecnico uno dei campioni eseguibili. I ricercatori hanno scoperto che il sistema tenterà di eseguire le versioni DLL, ma alla fine incontrerà delle difficoltà.
Essi affermano che «individuare e tracciare questi payload è semplice, poiché sia la configurazione del malware sia l’indirizzo IP del server C2 sono incorporati nel file eseguibile in testo in chiaro». La situazione potrebbe cambiare qualora venissero implementate molte delle funzionalità pubblicizzate per SantaStealer.
Per cominciare, il malware verificherà i valori inseriti per anti_cis e exec_delay_seconds e reagirà di conseguenza. Si passa quindi alla sua funzione anti-VM, che varia a seconda dei diversi campioni. Rapid7 ha rilevato che alcuni campioni cercavano processi e nomi di computer presenti nella lista nera, mentre altri si limitavano a verificare il numero di processi in esecuzione, il tempo di attività del sistema e l’eventuale presenza di un file denominato “ VirtualBox ”.
Il payload, in definitiva, tenta di sottrarre le credenziali dal browser. Rapid7 fornisce ulteriori dettagli tecnici al riguardo all’indirizzo ; per ulteriori approfondimenti, si rimanda al rapporto disponibile all’indirizzo .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
SantaStealer rappresenta una minaccia MaaS all’avanguardia, dotata di funzionalità modulari e di un livello di sofisticazione in continua evoluzione. Tuttavia, la sua diffusione prematura e la sua semplicità tecnica offrono ai difensori opportunità fondamentali per il rilevamento e l’analisi.
Questo programma di furto di informazioni si inserisce in diverse tendenze più ampie che stanno attualmente delineando il panorama delle minacce, tra cui l’ascesa degli ecosistemi MaaS, che riducono le barriere all’ingresso, e il dirottamento delle credenziali e delle sessioni come vettore di attacco principale.
Molte offerte MaaS che inizialmente presentano livelli di sicurezza operativa insufficienti si rafforzano nel tempo, man mano che i loro ricavi aumentano. Se SantaStealer dovesse seguire questa tendenza, è probabile che si evolva e diventi più sofisticato.
Il kit di phishing BlackForce prende di mira i principali marchi
Un recente post di Zscaler fa luce su BlackForce, un kit di phishing avanzato che prende di mira grandi marchi utilizzando pagine di accesso realistiche e tecniche “man-in-the-browser” per sottrarre credenziali e aggirare l’autenticazione a più fattori (MFA).
Secondo Zscaler, BlackForce ricorre a sofisticate tattiche di elusione, all’esfiltrazione di dati in tempo reale tramite Telegram e continua a evolversi grazie all’offuscamento e a una logica ibrida client-server.
Indagini su BlackForce e analisi del codice
Zscaler ha individuato uno schema ben definito durante la ricerca di campagne di phishing relative a “ ”. Lo schema era il seguente: «i domini utilizzavano sistematicamente file JavaScript con hash anti-cache nei nomi».
Questo schema ha permesso di individuare il punto di ingresso del kit di phishing BlackForce, costituito da una singola riga nel codice HTML della pagina che avrebbe caricato la piattaforma. Zscaler ha rilevato che oltre il 99% del contenuto del file JavaScript dannoso comprende versioni di produzione di React e React Router, il che ha contribuito a conferire al kit un’apparenza di legittimità.
Catena di attacchi BlackForce
Un attacco BlackForce ha inizio quando una vittima clicca sul link di phishing e viene reindirizzata alla pagina di phishing dell'autore dell'attacco. Viene utilizzata una lista di blocco di ISP/fornitori a livello di server per garantire che il traffico diretto alla pagina non provenga da ricercatori o scanner. Una volta completata questa verifica, alla vittima viene visualizzata la pagina di phishing e le viene chiesto di inserire le proprie credenziali.
A questo punto, l’autore dell’attacco riceverà un avviso che gli comunicherà che le credenziali sono state inviate al suo canale C2 e a quello di Telegram. L'autore dell'attacco tenta quindi di effettuare l'accesso utilizzando le credenziali rubate.
In molti casi, ciò attiva l'autenticazione a più fattori (MFA) e l'autore dell'attacco dovrà inviare alla vittima una pagina di autenticazione MFA contraffatta tramite BlackForce. Se la vittima cade nella trappola di questa pagina fasulla e inserisce il codice MFA, l'autore dell'attacco riuscirà ad accedere all'account. Al termine dell'attacco, la vittima verrà reindirizzata al sito web legittimo.
Esfiltrazione
Zscaler ha accertato che BlackForce utilizza Axios per gestire le proprie comunicazioni. Esistono due istanze di Axios sul lato client: la prima è destinata alla comunicazione C2 , mentre l’altra serve a trasferire i dati al canale Telegram dell’autore dell’attacco.
Anti-analisi
Come molti kit di phishing, BlackForce ricorre a varie tecniche anti-analisi. Zscaler lo ha rilevato utilizzando un filtro proattivo lato client che impedisce alle sandbox e ai bot di accedere alla pagina di phishing.
La versione 4 fa un ulteriore passo avanti e adotta una politica esclusivamente mobile che respingerà tutti gli user agent desktop. Il kit include inoltre un elenco dei paesi autorizzati, al fine di garantire che solo le vittime designate vengano indirizzate alla pagina di phishing.
Stato
Le versioni successive di BlackForce si sono distinte da quelle precedenti per il passaggio da modelli di attacco "stateless" a modelli "stateful". Nelle versioni 4 e 5, il kit utilizza le proprietà e sessionStorage del browser per creare una sessione con stato e consentire al kit di memorizzare le credenziali per tutta la durata dell’attacco.
C2 comunicazione
Il pannello C2 viene utilizzato per controllare le azioni che si susseguono dopo che la vittima accede alla pagina di phishing, fino al momento in cui i dati vengono sottratti. Sul pannello sono presenti alcune funzioni, tra cui quelle volte a identificare il visitatore, sottrarre i dati della vittima, gestire lo svolgimento della sessione di phishing e gestire l’attacco.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il kit BlackForce dimostra come il phishing si sia evoluto in un modello di servizio altamente professionalizzato, completo di versioni, aggiornamenti delle funzionalità e assistenza clienti.
Questo esempio dimostra inoltre come gli autori degli attacchi stiano ormai contrastando attivamente il rilevamento automatizzato e le analisi dei ricercatori, alzando l’asticella per l’ , la threat intelligence e le difese automatizzate.
Ink Dragon sferra nuovi attacchi
Check Point Research fornisce approfondimenti su una nuova ondata di attacchi sferrati da Ink Dragon, un gruppo di spionaggio informatico legato alla Cina che compromette i server esposti al pubblico sfruttando le vulnerabilità di IIS e SharePoint, per poi muoversi lateralmente al fine di raccogliere credenziali e ottenere privilegi più elevati.
È stato osservato che Ink Dragon crea reti di relay nascoste sulle infrastrutture delle vittime utilizzando moduli ShadowPad personalizzati, consentendo un sistema di comando e controllo invisibile e un accesso a lungo termine in diversi ambienti.
Accesso iniziale
Secondo Check Point, l’autore dell’attacco sfrutta in genere la deserializzazione ASP.NET utilizzando chiavi di sistema rese pubbliche.
È stato inoltre osservato che l’autore ha sfruttato la vulnerabilità di SharePoint ToolShell per ottenere l’accesso iniziale.
Movimento laterale
Ink Dragon sfrutta due vantaggi fondamentali dopo aver compromesso un server web, ottenendo l’accesso alle credenziali privilegiate di IIS e acquisendo visibilità sulle sessioni amministrative attive.
Grazie alle credenziali di IIS, l’autore dell’attacco può passare dall’esecuzione del processo di lavoro di IIS al controllo completo del sistema, garantire la persistenza tramite tunnel RDP o attività pianificate e spostarsi lateralmente verso altri server con un rischio minimo di essere individuato. Una volta all’interno, installeranno impianti quali ShadowPad o FinalDraft utilizzando protocolli nativi (ad esempio, SMB), mascherando i servizi sotto nomi legittimi per garantire la loro invisibilità.
Perseveranza
Check Point ha osservato due modelli ricorrenti in materia di persistenza, tra cui l’utilizzo di attività pianificate con nomi apparentemente innocui e l’installazione di servizi su più macchine per l’avvio di loader.
Elevazione dei privilegi
Ink Dragon ricorre a una combinazione di tecniche di sfruttamento e furto di credenziali per espandersi lateralmente e ottenere il controllo completo del dominio. Si osserva che l’attore sta aumentando i propri privilegi a livello locale, salvando i dati relativi a LSASS e alle strutture del Registro di sistema, e dirottando sessioni RDP amministrative inattive su per riutilizzare i token.
Abilitazione dell'uscita
Come sottolinea Check Point, Ink Dragon «ha modificato le regole del firewall degli host per consentire un ampio traffico in uscita e ha di fatto trasformato gli host compromessi in nodi senza restrizioni per l’esfiltrazione e l’proxy ».
La creazione della rete di ripetitori
Check Point ha scoperto che questo attore malintenzionato sta «trasformando attivamente le organizzazioni compromesse in nodi di comunicazione operativi all’interno di una rete distribuita di relay denominata ShadowPad».
Ink Dragon utilizza un modulo ShadowPad IIS Listener personalizzato per trasformare i server compromessi in hub di comunicazione occulti all’interno di una rete di relay distribuita. Registrando dinamicamente endpoint HTTP(S) nascosti che si mimetizzano con il normale traffico IIS, l’impianto intercetta le richieste, decrittografa i payload e inoltra i comandi tra i nodi esterni e quelli interni, creando di fatto una rete a più salti (multi-hop) dell’infrastruttura della vittima che nasconde la vera origine C2 , consente il pivoting laterale e rende il rilevamento estremamente difficile.
Strumenti e attività successive all’eseguimento
Secondo Check Point, Ink Dragon sta utilizzando una serie di strumenti aggiuntivi, tra cui:
- ShadowPad Loader
- CBDLoader per l'esecuzione di payload residenti in memoria
- LalsDumper per l'estrazione dei dump LSASS
- 032Loader come caricatore di payload dipendente dall'host
- FinalDraft which is a long-term espionage and cloud C2
Vittimologia
Ink Dragon prende di mira principalmente le organizzazioni governative , ma ha colpito anche altri settori.
Ink Dragon opera a livello globale, prendendo di mira vittime nel Sud-Est asiatico e in Africa e, di recente, espandendosi anche in Europa.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Ink Dragon rappresenta un attore malintenzionato altamente disciplinato e legato allo Stato, che non si limita a sottrarre dati, ma si insinua profondamente negli ambienti aziendali utilizzando tecniche furtive che imitano comportamenti legittimi.
Trasformando i server delle vittime in nodi di inoltro occulti e sfruttando in modo improprio le API cloud affidabili, rendono estremamente difficili il rilevamento e il contenimento, il che significa che un singolo punto di accesso può evolversi in una compromissione a lungo termine che coinvolge più reti. Questo attore incarna la convergenza tra le attività tradizionali delle APT e le moderne realtà aziendali.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l'argomento, vi invitiamo a consultare le nostre recenti rassegne informative sulle minacce informatiche.
