Questa settimana, CTI condivide i dettagli di una campagna di phishing che ha attirato i dipendenti con un messaggio delle Risorse umane contenente un falso avviso di congedo obbligatorio. Successivamente, CTI esamina l'ultima versione di Zloader e i suoi aggiornamenti più recenti. Infine, CTI fornisce gli ultimi dettagli sull'attore russo stato-nazione noto come Secret Blizzard.
Gli attori delle minacce si fingono le Risorse umane nella campagna di phishing
Cofense (si apre in una nuova scheda) ha recentemente intercettato un’ e-mail di phishing (si apre in una nuova scheda) che fingeva provenire dal dipartimento delle risorse umane di un’organizzazione. L’e-mail, che contiene un falso avviso di congedo obbligatorio, tenta di indurre le vittime a fare clic su un link dannoso che scarica il malware FormBook.
Dettagli tecnici
- Secondo Cofense, 55 su 72 fornitori su VirusTotal hanno segnalato il campione di malware come dannoso. Questi fornitori indicano che il campione è un iniettore AutoIt o un malware FormBook.
- Dopo che la vittima ha fatto clic sul link dannoso contenuto nell’e-mail, un file .zip viene scaricato nella directory dei download predefinita. Il file utilizza una doppia estensione
.xls.zipper indurre la vittima a pensare che sia semplicemente un foglio di calcolo con i dettagli che dovrebbero aprire. - Il file .zip contiene un file eseguibile compilato automaticamente. Il campione utilizza AutoIt come processo padre per iniettare uno script nel processo di destinazione.
- Nel caso analizzato da Cofense, il processo mirato era
UtilMan.exe. Questo viene quindi utilizzato per eseguire il malware FormBook in memoria.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come dimostra questa campagna, gli attori delle minacce spesso scelgono le esche in base a ciò che sta accadendo in tutto il mondo. Cofense si riferisce a questo esempio specifico come “rilevanza stagionale”.
Questo tipo di esca è comune e ha il potenziale per avere successo. Pertanto, rimanere aggiornati sulle ultime tecniche di phishing è importante per prevenire errori costosi.
Zloader riceve nuove funzionalità e funzionalità
I ricercatori di Zscaler (si apre in una nuova scheda) hanno scoperto una nuova versione di Zloader con funzionalità aggiuntive. L'ultima variante include nuove funzionalità di anti-analisi, una shell interattiva e un tunnel DNS per le comunicazioni C2 .
Che cos'è Zloader?
Zloader è stato inizialmente creato per frodi bancarie. Da allora si è evoluto per essere utilizzato per l'accesso iniziale.
L’anno scorso, il malware è riemerso dopo una pausa di due anni (si apre in una nuova scheda) con nuove funzionalità. Da allora Zscaler ha identificato una versione aggiornata del malware, la versione 2,9,4,0, con ancora più funzionalità, tra cui un nuovo protocollo di tunneling DNS .
Vettore di infezione
Secondo Zscaler, la distribuzione di Zloader sta diventando più piccola e mirata, una tendenza sempre più popolare tra i broker di accesso iniziale.
I ricercatori hanno osservato che Zloader viene distribuito in una catena di infezione che inizia con strumenti di monitoraggio e gestione da remoto (RMM) come AnyDesk (si apre in una nuova scheda) e Microsoft Quick Assist. Zscaler ha anche osservato un payload aggiuntivo chiamato GhostSocks durante l'attacco.
Configurazione Zloader
Zscaler ha scoperto che la configurazione statica del malware è cambiata in questa versione e non è più crittografata tramite una chiave hardcoded e di testo normale. In questa versione, la chiave deve essere calcolata tramite un'operazione XOR.
Zscaler decripta la configurazione per rivelare due nuove sezioni relative alla nuova funzione di tunneling DNS .
Capacità di anti-analisi di Zloader
Questa nuova versione di Zloader è dotata di un paio di funzionalità anti-analisi:
- Il primo è un controllo dell'ambiente che vediamo in molti esempi di malware.
- Il secondo riguarda la risoluzione API, che è stata aggiornata in questa versione. Il risultato della risoluzione API viene ora calcolato utilizzando un'operazione XOR.
Guscio interattivo
Zscaler ha anche identificato una nuova shell interattiva che consente all’autore della minaccia di eseguire binari e shellcode, rubare dati, uccidere i processi e altro ancora. Ciò consente all’autore della minaccia di eseguire attività pratiche con la tastiera.
Comunicazione di rete
Il malware utilizza ancora HTTPS con POST come metodo di comunicazione C2 primario. Il cambiamento più degno di nota per la comunicazione C2 è l'aggiunta di una tecnica di tunneling DNS . Il malware utilizza un protocollo personalizzato su DNS e IPv4 per eseguire il tunneling del traffico TLS crittografato. Zloader può costruire e analizzare pacchetti DNS e non ha bisogno di sfruttare una libreria di terze parti o l'API di Windows .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Zloader si è evoluto un po 'da quando è emerso in 2015 per frode bancaria. L’ultima versione rivela una maggiore attenzione all’evasione del rilevamento, che si allinea con molte altre famiglie di malware quest’anno.
Le nuove funzionalità posizionano Zloader per gli attori delle minacce che cercano un broker di accesso iniziale. Come osserva Zscaler con questi ultimi aggiornamenti, “le organizzazioni devono assicurarsi di ispezionare non solo il traffico basato sul web, ma anche il traffico di rete basato su DNS”.
Nuovi dettagli su Secret Blizzard
Ulteriori dettagli (si apre in una nuova scheda) sono emersi sull'attore russo dello stato-nazione noto come Secret Blizzard.
Microsoft ha recentemente determinato (si apre in una nuova scheda) che Secret Blizzard ha utilizzato gli strumenti e l'infrastruttura di almeno sei autori di minacce. Inoltre, Secret Blizzard sta prendendo di mira l'infrastruttura che altri attori delle minacce stanno utilizzando per mettere in scena i dati esfiltrati.
Che cos'è Secret Blizzard?
Secret Blizzard è stata collegata al Centro 16 del Servizio di sicurezza federale russo (FSB) (si apre in una nuova scheda). L’attore è noto per aver preso di mira una serie di settori in tutto il mondo con l’obiettivo di ottenere l’accesso a lungo termine agli sforzi di spionaggio. Ci sono state campagne in cui l’attore è stato osservato sfruttare strumenti o infrastrutture compromesse appartenenti ad altri attori della minaccia.
Attività di compromesso e post-compromesso
Microsoft ha osservato Secret Blizzard utilizzando l'infrastruttura C2 di un altro attore dal novembre 2022. L'altro attore è un attore di spionaggio pakistano, identificato come Storm-0156.
Secret Blizzard ha utilizzato Storm-0156’s backdoor per distribuire le loro backdoor e distribuire i loro strumenti ai server privati virtuali (VPS) che ospitano Storm-0156’s dati esfiltrati. Al momento, non è noto quale meccanismo di accesso iniziale Secret Blizzard stia utilizzando per ottenere l’accesso all’infrastruttura Storm-0156’s .
Backdoor segrete Blizzard
Secret Blizzard ha implementato diverse backdoor sull'infrastruttura Storm-0156’s . Ciò include una variante backdoor TinyTurla, un downloader personalizzato chiamato TwoDash, un trojan personalizzato chiamato Statuezy e un downloader personalizzato chiamato MiniPocket.
Nella campagna analizzata da Microsoft, Storm-0156 è stato osservato utilizzando più backdoor, comprese le varianti di Wainscot, per colpire Windows, Linux e CrimsonRAT.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Mentre la maggior parte degli aggressori prende di mira individui o organizzazioni, Secret Blizzard sta inseguendo infrastrutture e strumenti di altri aggressori. L’attore sta essenzialmente cercando di cavalcare il lavoro che altri attori delle minacce hanno già fatto e sta cercando un modo semplice per rubare i dati senza prendere parte al compromesso iniziale.
Come sottolinea Microsoft , i dati dell'attore potrebbero non essere allineati con i loro interessi di spionaggio. Ciò pone la domanda sul perché l'attore non stia seguendo la rotta del broker di accesso iniziale (IAB).
Microsoft Da allora ha pubblicato un secondo post (si apre in una nuova scheda) che vale la pena leggere.
Hai informazioni su queste storie che vuoi condividere? Vai al forum di discussione di Tanium (si apre in una nuova scheda) per iniziare una conversazione.
Per ulteriori informazioni, scopri le nostre recenti informazioni sulle minacce informatiche (si apre in una nuova scheda).
