Questa settimana, il team CTI dell’ Tanium a i nuovi risultati emersi da Cofense riguardo al ricorso continuativo al phishing tramite SMS per prendere di mira le organizzazioni e sottrarre credenziali. Successivamente, il team esamina diverse campagne che sfruttano Node.js per diffondere malware e altri payload dannosi. Infine, analizziamo in che modo alcuni convertitori di file ingannevoli vengono utilizzati per diffondere malware.
Gli autori delle minacce continuano a sfruttare gli SMS ricorrendo all’ingegneria sociale
Cofense segnala (si apre in una nuova scheda) un attacco di phishing in corso tramite SMS rivolto alle organizzazioni con l’obiettivo di sottrarre credenziali.
Nel corso della propria indagine, Cofense ha rilevato un aumento di questi attacchi, che creano un falso senso di urgenza o di paura per indurre i destinatari ad agire e a cadere nella trappola.
Cosa dicono i messaggi SMS?
Tali attacchi hanno inizio con l’invio di un messaggio SMS a un destinatario specifico. I messaggi sono redatti in modo da suscitare un senso di urgenza o di paura, utilizzando espressioni quali “attenzione” e “si prega di prendere visione delle modifiche”.
Secondo Cofense, l’autore dell’attacco ha inserito la frase «Se non è stato lei, la preghiamo di effettuare l’accesso per aprire un ticket» al fine di indurre il destinatario a compiere un’azione.
Come funziona il sito dannoso?
Se il destinatario clicca sul link contenuto nel messaggio SMS, viene reindirizzato tramite Google per dare l’impressione di maggiore legittimità. Una volta lì, dovranno cliccare su un ulteriore link che li reindirizzerà alla pagina di destinazione finale.
La pagina di destinazione finale è una pagina di phishing relativa a “ ” (si apre in una nuova scheda) che si spaccia per la pagina di accesso di ServiceNow e richiede agli utenti di inserire le proprie credenziali. Se vengono inserite le credenziali, alla vittima viene visualizzata una finta richiesta di autenticazione a più fattori (MFA), che consente all’autore dell’attacco di ottenere sia le credenziali che le informazioni relative all’autenticazione a più fattori.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa ricerca ci ricorda di prestare attenzione alle tentative di phishing non solo nelle e-mail, ma anche nei messaggi SMS.
Molti segnali sono gli stessi, tra cui il falso senso di urgenza, l’invito a cliccare su qualcosa e il messaggio inaspettato. In entrambi i casi, l’attore cercherà spesso di instaurare un clima di fiducia e di fare leva sulle emozioni umane.
Un uso improprio di Node.js comporta la diffusione di malware e di payload dannosi
Microsoft ha individuato (si apre in una nuova scheda) diverse campagne che sfruttano Node.js per diffondere malware e altri payload dannosi.
Di recente, ha individuato un attacco di malvertising, ancora in corso, che utilizza Node.js nell’ambito di una campagna di trading di criptovalute. La campagna mira a indurre gli utenti, con l'inganno, a scaricare un programma di installazione dannoso camuffato da software legittimo.
Che cos’è Node.js?
Node.js è un ambiente di esecuzione JavaScript open source che consente di eseguire codice JavaScript al di fuori di un browser web. Gli sviluppatori utilizzano spesso Node.js per lo scripting lato server e per creare applicazioni di rete scalabili.
Comprendere il malvertising
Microsoft ha osservato, negli ambienti dei propri clienti, che la diffusione di malware legato a Node.js tramite malvertising rimane una pratica diffusa. Questi annunci pubblicitari dannosi inducono le vittime a visitare siti web dai quali scaricheranno e installeranno malware camuffato da software legittimo.
Nella campagna relativa alle criptovalute, gli annunci erano stati progettati in modo da sembrare provenienti da una piattaforma di trading legittima, con l’obiettivo di indurre le vittime a scaricare un programma di installazione dannoso. Tale programma di installazione, tuttavia, conteneva una DLL dannosa destinata a raccogliere informazioni di sistema e a garantire la propria persistenza.
Una volta avviato, il programma di installazione del pacchetto realizzato con Wix carica una DLL che raccoglie informazioni tramite una query WMI. Inoltre, crea un’attività pianificata con il comando ` PowerShell ` per garantire la persistenza. Alla vittima viene inoltre mostrata una finestra fasulla che riproduce il sito web legittimo.
In che modo il malware elude il rilevamento
L'attività pianificata menzionata in precedenza eseguirà i comandi PowerShell per escludere PowerShell e la directory corrente dalla scansione, impedendo che le future esecuzioni di PowerShell generino avvisi.
In che modo questo tipo di malware raccoglie ed esfiltra i dati?
Viene eseguito un comando ` PowerShell ` per recuperare ed eseguire script da URL remoti. Questi script raccoglieranno informazioni relative all' Windows , al BIOS, al sistema e al sistema operativo.
Secondo Microsoft, i dati vengono «strutturati in una tabella hash annidata, convertiti in formato JSON, e quindi inviati tramite HTTP POST al server di comando e controllo (C2) dell’autore dell’attacco».
Viene eseguito un ulteriore script PowerShell per scaricare ed estrarre un file di archivio dal C2. Successivamente disattiva le impostazioni di “ proxy ” e avvia un file JavaScript dall’archivio.
In che modo viene utilizzato Node.js per diffondere il malware?
Il file eseguibile di Node.js, precedentemente scaricato dall'archivio, avvia il file JavaScript. Questa operazione carica i moduli della libreria, stabilisce le connessioni e aggiunge i certificati al dispositivo.
Microsoft ha inoltre rilevato una tecnica che sta emergendo nelle campagne basate su Node.js e che prevede l’esecuzione di codice JavaScript inline. Con questa tecnica, gli script dannosi vengono eseguiti tramite Node.js per distribuire malware.
Microsoft Si è osservato un caso del genere in un attacco ClickFix di tipo “ ” (si apre in una nuova scheda) , in cui l’utente viene indotto con l’inganno a copiare, incollare ed eseguire codice dannoso. Questo codice ha scaricato diversi componenti, tra cui il file binario di Node.js. Uno script potrebbe quindi utilizzare l'ambiente Node.js per eseguire il codice JavaScript dalla riga di comando anziché tramite un file.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa scoperta non significa che gli sviluppatori abbiano smesso del tutto di utilizzare altri linguaggi di scripting diffusi, ma semplicemente che ora ricorrono occasionalmente al JavaScript compilato.
Microsoft ha sottolineato che, qualora l’uso di malware basati su Node.js dovesse iniziare a diffondersi, ciò potrebbe indicare un cambiamento nelle preferenze degli autori degli attacchi. Ciò costituisce inoltre un ulteriore esempio di come gli autori delle minacce cerchino e sfruttino applicazioni spesso utilizzate in modo legittimo per mimetizzarsi tra le normali attività.
Come sempre, Microsoft contiene raccomandazioni (si apre in una nuova scheda), rilevamenti (si apre in una nuova scheda) e query di ricerca (si apre in una nuova scheda) per aiutare le organizzazioni a identificare questa minaccia.
I falsi convertitori di PDF contribuiscono alla diffusione di malware
A seguito di un avviso dell’FBI relativo a convertitori di file dannosi che diffondono malware, CloudSEK ha condotto un’indagine sulla minaccia (si apre in una nuova scheda). Il rapporto analizza un attacco che coinvolge un convertitore di documenti dannoso, il quale si presenta come un servizio affidabile ma mira a diffondere il malware ArechClient2 .
CloudSEK ha individuato diversi siti web dannosi dedicati alla conversione di file che imitano “pdfcandy.com”, un convertitore di file legittimo. Questi siti sono pressoché identici a quello legittimo e invitano i visitatori a caricare un file PDF da convertire in formato Word.
Come funziona il malware che si presenta come convertitore di PDF?
Quando viene caricato un file PDF, il sito mostra innanzitutto una sequenza animata di caricamento per indurre la vittima a credere che il file sia in fase di elaborazione. Successivamente, il sito presenta alla vittima una finestra di verifica CAPTCHA. Una volta completata questa fase, una finestra di dialogo richiede alla vittima di copiare, incollare ed eseguire il codice per attivare il payload dannoso.
Inoltre, i ricercatori di CloudSEK hanno decodificato il comando e hanno individuato una catena di reindirizzamenti che nasconde il processo di diffusione del malware. Il funzionamento si articola in due fasi:
- Il collegamento iniziale rimanda a un sito URL camuffato da link abbreviato. Ciò porta a un sito dannoso URL che distribuisce il payload dannoso “adobe.zip”.
- Il payload dannoso è ospitato su un indirizzo IP precedentemente segnalato come dannoso. Un file eseguibile dannoso, denominato “audiobit[.]exe”, contenuto nel file zip, attiverà una catena di attacchi che porterà all’esecuzione dello stealer di informazioni ArechClient2 .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'attacco si basa su un livello significativo di interazione manuale da parte della vittima, poiché richiede a quest'ultima di copiare, incollare ed eseguire il codice dannoso. Questa tecnica sta diventando sempre più diffusa, quindi deve pur avere un certo grado di efficacia se gli attori continuano a ricorrervi.
L’informazione su alcuni dei segnali rivelatori di questa diffusa minaccia può essere facilmente inserita in un corso di formazione sulla sicurezza informatic e destinato ai dipendenti (si apre in una nuova scheda). CloudSEK include inoltre alcune raccomandazioni in materia di protezione nel proprio rapporto (si apre in una nuova scheda) che potrebbero risultare utili.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
