Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium esamina Shanya, un nuovo servizio di “packer-as-a-service” (PaaS) che si sta diffondendo rapidamente tra i gruppi di autori di ransomware. Successivamente, il team analizza GrayBravo, un sofisticato attore malintenzionato che sta prendendo di mira attivamente settori quali la logistica e il settore alberghiero attraverso attacchi di tipo “ ”, phishing, malvertising e falsi aggiornamenti software. Infine, su concludiamo l’articolo con una panoramica dei Storm-0249’s strumenti più recenti dedicati al rilevamento e alla risposta (EDR) , che si sono recentemente orientati verso lo sfruttamento di endpoint .
Shanya PaaS si sta diffondendo tra i gruppi di ransomware
Sophos sta fornendo ulteriori dettagli su Shanya, un nuovo strumento PaaS che sembra stia sostituendo servizi precedenti come HeartCrypt nell’ecosistema della criminalità informatica.
I servizi di "packer" sono strumenti che crittografano o offuscano il malware per eludere il rilevamento. Gli autori delle minacce stanno ora utilizzando Shanya per avvolgere il ransomware in un livello di offuscamento di tipo “ ”, consentendogli di eludere le difese anti-malware.
Promozioni clandestine
Near the end of 2024, Sophos discovered references in underground forums for an offering called VX Crypt. L'offerta è stata attribuita a “Shanya”, sebbene l'ID dell'autore non fosse correlato. Tuttavia, il nome utente su Telegram dell’autore includeva “shanya”.
Il post sostiene che l’offerta includesse funzionalità per l’aggiramento dell’AMSI, la protezione durante l’esecuzione e il sideloading. Le caratteristiche di questo packer corrispondono a quelle di un altro packer osservato da Sophos, il che induce a ritenere che si tratti dello stesso PaaS.
Nei primi campioni, Sophos ha individuato nomi di file eseguibili e DLL che utilizzavano la stringa “shanya” o una sua variante. Hanno inoltre osservato casi in cui sia un killer di tipo “ EDR ” sia il malware CastleRAT hanno utilizzato file dannosi creati dal servizio Shanya.
Shanya è stata osservata in tutto il mondo nel corso del 2025.
I file eseguibili compressi
Sophos ha analizzato un campione che costituisce una variante di un malware di tipo “ EDR ”, il quale conteneva una grande quantità di codice inutile, ma per il quale è stato infine stabilito che fosse destinato a “creare un decrittografo e un caricatore in una regione di memoria, che avrebbero poi decrittografato il payload”.
- Per cominciare, Shanya crea una tabella contenente i dettagli fondamentali relativi all’esecuzione.
- Il puntatore a questa tabella è nascosto all’interno del Process Environment Block (PEB), nel campo GdiHandleBuffer.
- A quel punto, ogni fase del malware può semplicemente recuperare il PEB per ottenere il puntatore alla tabella di configurazione, riducendo così l’ingombro.
- Shanya è inoltre in grado di risolvere dinamicamente le funzioni richieste dell’API Windows ed eseguire controlli anti-analisi.
Casi d'uso degni di nota
Secondo Sophos, il killer “ EDR ”, protetto da Shanya, è stato utilizzato in casi di sideloading di DLL.
Sophos sottolinea inoltre che il malware “ EDR ” installa due driver del kernel, di cui uno legittimo ma vulnerabile e un altro dannoso e privo di firma.
Il rapporto contiene un elenco dettagliato ( ) dei servizi e dei processi interessati. Se sul dispositivo viene rilevata una di queste condizioni, il dispositivo viene disattivato.
Sophos illustra inoltre una campagna realmente avvenuta che ha utilizzato Shanya, in particolare per prendere di mira gli hotel. Questa campagna proviene dal sito settembre 2025 e faceva parte di una campagna ClickFix che si avvaleva di Booking.com.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Shanya PaaS formalizza il percorso che porta da un " EDR-killer" al ransomware, compromettendo le difese. In sostanza, si tratta di trasformare tecniche sofisticate di elusione in un servizio in abbonamento destinato agli autori di attacchi che intendono aumentare l’affidabilità dei propri attacchi.
In accordo con Sophos, è improbabile che questo fenomeno scompaia a breve e non farà altro che continuare a evolversi.
GrayBravo amplia la propria presenza
Secondo il rapporto di Recorded Future intitolato “”, GrayBravo (precedentemente noto come TAG-150) opera probabilmente secondo un modello di “malware-as-a-service”, distribuendo CastleLoader su più cluster e prendendo di mira i settori della logistica e dell’ospitalità tramite phishing, malvertising e falsi aggiornamenti software.
L’infrastruttura e gli strumenti del gruppo dimostrano un’elevata adattabilità, con funzionalità avanzate quali il furto di credenziali, l’accesso remoto e sistemi di comando e controllo a più livelli (C2).
Chi è GrayBravo?
GrayBravo (precedentemente noto come TAG-150) è un sofisticato attore malintenzionato attivo almeno dal marzo 2025. L'attore è noto per la sua capacità di sviluppo rapido e per le famiglie di malware personalizzate, tra cui figurano CastleLoader, CastleBot e CastleRAT.
Recorded Future ritiene che il gruppo gestisca un ecosistema di malware-as-a-service (MaaS), avvalendosi di un’infrastruttura a più livelli e di tecniche avanzate di anti-rilevamento, con quattro distinti cluster di attività.
GrayBravo gestisce un'infrastruttura complessa e articolata su più livelli a supporto del proprio ecosistema di malware. I server di primo livello fungono da nodi di comando e controllo rivolti alle vittime per le rispettive famiglie di malware, mentre i livelli successivi forniscono funzionalità a più livelli.
Le varianti di CastleRAT
Il rapporto di Recorded Future contiene informazioni dettagliate sul malware CastleRAT, che presenta una variante sia in C che in Python. Indipendentemente dalla variante, è in grado di eseguire comandi da remoto, scaricare ed eseguire file e stabilire una shell remota interattiva. La variante C offre alcune funzionalità aggiuntive.
Per quanto riguarda l’infrastruttura, Recorded Future ha individuato una significativa sovrapposizione operativa tra diversi nodi che condividono la chiave RC4 “NanuchkaUpyachka”. Hanno inoltre individuato un livello di interconnessione che potrebbe indicare l’esistenza di un quadro di implementazione comune per CastleRAT e CastleLoader.
Gruppi di attività
Recorded Future ha individuato quattro gruppi di attività correlati alla distribuzione di CastleLoader:
- Cluster 1: Il primo cluster di attività, monitorato da Recorded Future con il codice TAG-160, sta prendendo di mira attivamente il settore della logistica. È stato osservato che il cluster utilizza la tecnica ClickFix per distribuire CastleLoader e sfruttare le vulnerabilità, avvalendosi al contempo di piattaforme legittime di abbinamento delle spedizioni, tra cui DAT Freight & Analytics e Loadlink Technologies.
- Cluster 2: È noto che il Cluster 2 (TAG-161) si spaccia per Booking.com. Anche questo gruppo utilizza la tecnica ClickFix per distribuire CastleLoader e Matanbuchus.
- Cluster 3: Anche questo cluster si spaccia per Booking.com, sfrutta le tecniche di ClickFix e utilizza le pagine di Steam per distribuire sia CastleRAT che CastleLoader. A questo punto, Recorded Future non ha individuato alcuna sovrapposizione tecnica tra il secondo e il terzo cluster.
- Cluster 4: L'ultimo cluster utilizza malvertising e falsi programmi di installazione per diffondere CastleLoader e NetSupport RAT. Si avvale di repository falsi su GitHub per distribuire i payload di CastleLoader, che vengono solitamente forniti sotto forma di programmi di installazione MSI con firma digitale.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
GrayBravo rappresenta un esempio lampante dell’industrializzazione della criminalità informatica, in cui gli autori mettono a disposizione degli affiliati malware modulari e infrastrutture.
Il ruolo di CastleLoader come meccanismo di distribuzione flessibile è in linea con la tendenza più ampia che vede il passaggio dal malware monouso ai loader multistadio, che consentono l’esecuzione di ransomware, infostealer e RAT.
L’utilizzo da parte del gruppo di sistemi C2 a più livelli e ridondanti consente loro di continuare a operare qualora un dominio o un indirizzo IP venisse individuato e bloccato.
Storm-0249 sfrutta i processi di “ EDR ” per nascondere attività dannose
Secondo ReliaQuest, l’Initial Access Broker denominato Storm-0249 è passato da campagne di phishing su larga scala allo sfruttamento di strumenti di tipo “ EDR ”. Il gruppo sta utilizzando tecniche quali il sideloading di DLL e l’abuso di processi affidabili per garantire una persistenza nascosta.
Tale evoluzione consente agli affiliati dei gruppi di ransomware di aggirare le difese tradizionali e di mantenere un accesso a lungo termine, mimetizzando al contempo le attività dannose all’interno di operazioni di sicurezza legittime.
Storm-0249’s nuove strategie
Storm-0249’s attacchi recenti hanno avuto inizio tramite ClickFix. Inoltre, utilizza varie tecniche, tra cui lo spoofing del dominio Microsoft e il piping da Curl aPowerShell , nonché il sideloading di DLL per prendere di mira gli agenti SentinelOne.
Una volta che Storm-0249 avrà ottenuto l’accesso, il gruppo utilizzerà curl.exe (uno strumento di fiducia tra i team IT). Lo script dannoso è ospitato su un sito URL che imita il dominio Microsoft per indurre gli utenti a credere che provenga da una fonte legittima.
Curl scarica script dannosi da domini falsi Microsoft , trasferendoli nella memoria PowerShell per eludere il rilevamento basato sulle firme. Come sottolinea ReliaQuest, «poiché operano interamente in memoria, i sistemi di rilevamento tradizionali basati su firme non rilevano affatto tale attività».
Rivolvere il software di sicurezza contro se stesso
Secondo ReliaQuest, Storm-0249 ha dimostrato di essere in grado di caricare il proprio codice dannoso manipolando un eseguibile legittimo di SentinelOne.
In questo attacco, l’utente deve essere indotto con l’inganno a eseguire un pacchetto dannoso MSI scaricato dal sito contraffatto Microsoft . Il pacchetto scaricato richiede privilegi di sistema, il che fornisce all’autore dell’attacco ciò di cui ha bisogno per eseguire il vero codice dannoso.
Il pacchetto “ MSI ” include una DLL che si presenta come un componente “ EDR ” di SentinelOne e la inserisce nella cartella AppData dell’utente. Grazie al sideloading delle DLL, al momento dell’avvio di SentinelOne viene caricata la DLL dannosa anziché quella legittima.
Canali di comunicazione occulti
In addition to updating some of their tactics, the group has also changed its C2 communication approach.
In precedenza, il malware stabiliva comunicazioni dirette C2 , che generavano traffico in uscita ed erano facili da individuare. Attualmente, il gruppo sta sfruttando in modo improprio componenti affidabili del software di SentinelOne per stabilire le proprie comunicazioni C2 ; come sottolinea ReliaQuest, ciò è preoccupante poiché avviene all’interno di software presente nella whitelist.
Ricognizione sotto copertura
ReliaQuest ha inoltre osservato che l’autore dell’attacco svolgeva attività di ricognizione utilizzando strumenti legittimi di gestione delle risorse ( Windows ) che sono «quasi impossibili da bloccare senza compromettere le operazioni IT».
Una volta compromesso il file eseguibile SentinelAgentWorker.exe dell’ , l’autore dell’attacco è riuscito a eseguire i comandi reg.exe e altri comandi per ottenere gli identificatori di sistema. ReliaQuest osserva che ciò potrebbe essere fatto in vista di eventuali affiliati di gruppi di ransomware.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come dimostra questo esempio, gli autori degli attacchi utilizzano sempre più spesso strumenti di sicurezza affidabili come arma per eludere il rilevamento.
L’abuso di processi legittimi di EDR evidenzia come la fiducia nel software possa trasformarsi in un rischio e come gli attacchi di tipo “ ” stiano diventando sempre più ingegnosi. Questo è l’ennesimo esempio della necessità di ricorrere all’analisi comportamentale piuttosto che alle difese basate sulle firme.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
