Questa settimana, CTI fornisce ulteriori dettagli su una campagna di phishing che ha ingannato i dipendenti tramite un messaggio proveniente dall’ufficio Risorse Umane contenente una falsa comunicazione relativa a un congedo obbligatorio. A seguire, CTI esamina l’ultima versione di Zloader e i suoi aggiornamenti più recenti. Infine, CTI fornisce gli ultimi dettagli sull’attore statale russo noto come Secret Blizzard.
Gli autori delle minacce si spacciano per il reparto Risorse Umane in una campagna di phishing
Cofense (si apre in una nuova scheda) ha recentemente intercettato un’e-mail di phishing (si apre in una nuova scheda) che fingeva di provenire dall’ufficio risorse umane di un’organizzazione. L'e-mail, che contiene una falsa comunicazione relativa a un congedo obbligatorio, cerca di indurre le vittime a cliccare su un link dannoso che scarica il malware FormBook.
Dettagli tecnici
- Secondo Cofense, 55 dei 72 fornitori presenti su VirusTotal hanno segnalato il campione di malware come dannoso. Tali fornitori indicano che il campione è o un injector AutoIt oppure il malware FormBook.
- Dopo che la vittima ha cliccato sul link dannoso contenuto nell'e-mail, un file .zip viene scaricato nella cartella predefinita dei download. Il file utilizza una doppia estensione
.xls.zipper indurre la vittima a credere che si tratti semplicemente di un foglio di calcolo contenente informazioni che dovrebbe aprire. - Il file .zip contiene un eseguibile compilato con AutoIt. L'esempio utilizza AutoIt come processo padre per iniettare uno script nel processo di destinazione.
- Nel caso analizzato da Cofense, il processo preso di mira era
UtilMan.exe. Ciò viene quindi utilizzato per eseguire il malware FormBook in memoria.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come dimostra questa campagna, gli autori delle minacce scelgono spesso le esche in base a ciò che sta accadendo nel mondo. Cofense definisce questo specifico esempio «rilevanza stagionale».
Questo tipo di esca è molto diffusa e può rivelarsi efficace. Pertanto, è importante tenersi aggiornati sulle più recenti tecniche di phishing per evitare errori che potrebbero comportare costi elevati.
Zloader viene arricchito di nuove funzionalità e capacità
I ricercatori di Zscaler (si apre in una nuova scheda) hanno scoperto una nuova versione di Zloader dotata di funzionalità aggiuntive. L'ultima variante include nuove funzionalità anti-analisi, una shell interattiva e un tunnel DNS per le comunicazioni C2 .
Che cos’è Zloader?
Zloader è stato inizialmente creato per commettere frodi bancarie. Da allora si è evoluto fino a essere utilizzato per l’accesso iniziale.
Lo scorso anno, il malware è riapparso dopo una pausa di due anni (si apre in una nuova scheda) con nuove funzionalità. Da allora, Zscaler ha individuato una versione aggiornata del malware, la versione 2,9,4,0, dotata di funzionalità ancora più avanzate, tra cui un nuovo protocollo di tunneling denominato “ DNS ”.
Vettore di infezione
Secondo Zscaler, la diffusione di Zloader sta assumendo caratteristiche sempre più circoscritte e mirate — una tendenza sempre più diffusa tra gli “initial access broker”.
I ricercatori hanno osservato che Zloader viene diffuso attraverso una catena di infezione che ha inizio con strumenti di monitoraggio e gestione remota (RMM) quali , AnyDesk (si apre in una nuova scheda),, e Microsoft Quick Assist. Zscaler ha inoltre rilevato un ulteriore payload denominato GhostSocks nel corso dell’attacco.
Configurazione di Zloader
Zscaler ha scoperto che in questa versione la configurazione statica del malware è cambiata e non è più crittografata tramite una chiave hardcoded in testo chiaro. In questa versione, la chiave deve essere calcolata tramite un'operazione XOR.
Zscaler decifra la configurazione, rivelando due nuove sezioni relative alla nuova funzionalità di tunneling “ DNS ”.
Le funzionalità anti-analisi di Zloader
Questa nuova versione di Zloader è dotata di alcune funzionalità anti-analisi:
- Il primo è un controllo dell'ambiente che si riscontra in molti campioni di malware.
- Il secondo riguarda la risoluzione delle API, che è stata aggiornata in questa versione. Il risultato della risoluzione dell'API viene ora calcolato mediante un'operazione XOR.
Shell interattiva
Zscaler ha inoltre individuato una nuova shell interattiva che consente all’autore della minaccia di eseguire file binari e shellcode, sottrarre dati, terminare processi e altro ancora. Ciò consente all'autore dell'attacco di eseguire operazioni dirette tramite la tastiera.
Comunicazione di rete
The malware still uses HTTPS with POST as its primary C2 communication method. La modifica più rilevante apportata al protocollo C2 consiste nell’aggiunta di una tecnica di tunneling denominata “ DNS ”. Il malware utilizza un protocollo personalizzato basato sui protocolli DNS e IPv4 per instradare tramite tunnel il traffico crittografato TLS . Zloader è in grado di creare e analizzare pacchetti " DNS " e non necessita di ricorrere a librerie di terze parti né all'API " Windows ".
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Zloader si è evoluto notevolmente da quando è apparso nel 2015 in relazione a frodi bancarie. L'ultima versione evidenzia una maggiore attenzione alle tecniche di elusione del rilevamento, in linea con quanto osservato quest'anno in molte altre famiglie di malware.
Le nuove funzionalità rendono Zloader una soluzione ideale per gli autori di minacce alla ricerca di un broker di accesso iniziale. Come sottolinea Zscaler in merito a questi ultimi aggiornamenti, «le organizzazioni devono assicurarsi di monitorare non solo il traffico web, ma anche il traffico di ret DNS».
Emergono nuovi dettagli su Secret Blizzard
Sono emersi ulteriori dettagli (si apre in una nuova scheda) riguardo all’attore statale russo noto come Secret Blizzard.
Microsoft Come recentemente accertato da (si apre in una nuova scheda) , Secret Blizzard ha utilizzato gli strumenti e l’infrastruttura di almeno sei attori malintenzionati. Inoltre, Secret Blizzard sta prendendo di mira le infrastrutture che altri autori di minacce utilizzano per stoccare temporaneamente i dati sottratti.
Che cos’è Secret Blizzard?
Secret Blizzard è stato collegato al Centro 16 “ ” del Servizio federale di sicurezza russo (FSB) (si apre in una nuova scheda). È noto che l’attore prenda di mira una serie di settori in tutto il mondo, con l’obiettivo di assicurarsi un accesso a lungo termine alle attività di spionaggio. Si sono verificati casi in cui è stato osservato che l’autore dell’attacco sfruttava strumenti o infrastrutture compromesse appartenenti ad altri autori di minacce.
Attività relative alla compromissione e successive alla compromissione
Microsoft ha osservato che Secret Blizzard utilizza l’infrastruttura C2 di un altro attore sin dal novembre 2022. L’altro attore è un soggetto dedito allo spionaggio con base in Pakistan, identificato con il nome in codice Storm-0156.
Secret Blizzard ha utilizzato Storm-0156’s backdoor per distribuire i propri strumenti su server privati virtuali (VPS) che fungono da punto di transito per i dati esfiltrati Storm-0156’s . Al momento non è noto quale meccanismo di accesso iniziale stia utilizzando Secret Blizzard per ottenere l'accesso all'infrastruttura Storm-0156’s .
Backdoor segrete di Blizzard
Secret Blizzard ha installato diverse backdoor nell’infrastruttura Storm-0156’s . Tra questi figurano una variante della backdoor TinyTurla, un downloader personalizzato denominato TwoDash, un trojan personalizzato denominato Statuezy e un downloader personalizzato denominato MiniPocket.
Nella campagna analizzata da Microsoft, è stato osservato che Storm-0156 utilizzava diverse backdoor, tra cui alcune varianti di Wainscot, per prendere di mira Windows, Linux e CrimsonRAT.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Mentre la maggior parte degli autori di minacce prende di mira singoli individui o organizzazioni, Secret Blizzard punta invece alle infrastrutture e agli strumenti di altri autori di minacce. L'autore dell'attacco sta sostanzialmente cercando di sfruttare il lavoro già svolto da altri autori di attacchi e sta cercando un modo semplice per sottrarre dati senza partecipare alla violazione iniziale.
Come sottolinea Microsoft , i dati forniti dall’attore potrebbero non coincidere con i loro interessi in materia di spionaggio. Ciò solleva la questione del motivo per cui l’attore non stia seguendo la strada dell’Initial Access Broker (IAB).
Microsoft Da allora ha pubblicato un secondo post su “ ” (si apre in una nuova scheda) che vale la pena leggere.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
