Questa settimana, CTI analizza un nuovo malware di tipo trojan per l’accesso remoto (RAT) denominato StilachiRAT. A seguire, CTI esamina in che modo gli infostealer vengono diffusi tramite post su Reddit. Infine, CTI conclude con un’analisi dei dati di Cloudflare, dalla quale emerge che il 41% degli accessi riusciti avviene tramite password compromesse.
Il nuovo malware StilachiRAT consente il furto di criptovalute e attività di ricognizione
Microsoft (si apre in una nuova scheda) ha scoperto un nuovo malware RAT denominato StilachiRAT, che dispone di vari metodi per sottrarre credenziali del browser, dati relativi ai portafogli digitali, informazioni contenute negli appunti e dati di sistema.
Sebbene al momento non sia stato attribuito a nessun autore, StilachiRAT utilizza tecniche sofisticate per eludere il rilevamento, garantire la persistenza e sottrarre dati.
Ricognizione del sistema
StilachiRAT effettua un'attività di ricognizione preliminare per raccogliere informazioni su un sistema bersaglio. Raccoglie vari dati, tra cui i numeri di serie del BIOS, la presenza di una scheda video, le informazioni di sistema e altro ancora, avvalendosi principalmente del linguaggio di query WMI.
Obiettivo: i portafogli digitali
StilachiRAT prende di mira un ampio elenco di estensioni per portafogli di criptovalute all’interno del browser Chrome . A tal fine, accederà alle impostazioni contenute in una specifica chiave del Registro di sistema e verificherà se sono installate le estensioni specificate. L'elenco completo delle estensioni di portafoglio prese di mira dall' è disponibile nel rapporto di Microsoft intitolato “ ” (si apre in una nuova scheda).
Furto di credenziali
Come molti RAT, StilachiRAT è in grado di rubare credenziali (si apre in una nuova scheda). Microsoft si è osservato che il malware estraeva la “chiave di crittografia” (encryption_key) di Chrome dallo stato locale presente in una directory dell’utente.
Questa chiave viene crittografata durante l'installazione e deve essere decrittografata utilizzando le API di Windows . Ciò consente all'attore di accedere alle credenziali memorizzate nel deposito delle password per estrarle. Il malware raccoglierà inoltre informazioni, tra cui i registri relativi alle installazioni di software e alle applicazioni attive.
Perseveranza
Microsoft si riferisce che StilachiRAT può funzionare come servizio di tipo “ Windows ” oppure in modo indipendente come componente autonomo. Un thread di monitoraggio controllerà i file utilizzati dal malware per garantire che non vengano eliminati, ricreandoli qualora dovessero mancare in qualsiasi momento.
Monitoraggio del protocollo RDP (Remote Desktop Protocol)
StilachiRAT monitorerà inoltre le sessioni RDP per assumere l’identità degli utenti, una tecnica che comporta rischi significativi per i server che ospitano sessioni amministrative.
Il malware acquisirà la sessione corrente, aprirà finestre in primo piano ed effettuerà l'enumerazione di tutte le sessioni RDP. Per ogni sessione identificata, ne replicherà i privilegi o il token di sicurezza, consentendole di avviare applicazioni.
Monitoraggio degli appunti
Il malware è inoltre dotato di una funzione che gli consente di monitorare i dati presenti negli appunti. Legge periodicamente gli appunti, estraendo il testo di interesse ai fini dell’esfiltrazione. Per individuare il testo rilevante, utilizza espressioni di ricerca regolari per elementi quali password, chiavi, dati personali, ecc.
Tecniche anti-forensi
Come la maggior parte dei malware, StilachiRAT cerca di coprire le proprie tracce e di rendere più complessa l’analisi. Cancella i registri degli eventi, verifica determinate condizioni di sistema relative a elementi quali i timer della sandbox e offusca le proprie chiamate alle API.
Comandi
Per il server di comando e controllo (C2) sono configurati due indirizzi diversi: uno è occultato, mentre l'altro è convertito in formato binario. Il malware utilizza le porte TCP 53, 443 o 16000 per stabilire il proprio canale di comunicazione. È quindi in grado di eseguire vari comandi per riavviare il sistema, cancellare i log, avviare applicazioni, gestire le finestre e altro ancora.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Al momento, sono disponibili poche informazioni sulle modalità con cui StilachiRAT si insedia nei dispositivi. Detto questo, il malware RAT può essere diffuso in molti modi, e un monitoraggio e un rilevamento di base (si apre in una nuova scheda) sono fondamentali per prevenire questi comuni vettori di accesso iniziale. Sebbene il malware non sia ancora diffuso su larga scala, le sue funzionalità lo rendono degno di attenzione.
Microsoft ha inoltre condiviso alcune misure di mitigazione raccomandate dall’ : (si apre in una nuova scheda),, , query di ricerca e avvisi di Defender che potrebbero rivelarsi utili per identificare attività associate a questa minaccia.
I ladri di AMOS e Lumma si diffondono tramite post su Reddit
Secondo Malwarebytes (si apre in una nuova scheda), il programma di furto di informazioni per macOS AMOS e il programma di furto di credenziali Windows Lumma vengono attualmente diffusi tramite post su Reddit. Le esche utilizzate in questa campagna sono spesso software pirata.
Cosa contengono i post su Reddit?
I promotori di questa campagna stanno cercando in particolare i subreddit frequentati dai trader di criptovalute e stanno pubblicando post relativi all’accesso gratuito a un popolare strumento di trading denominato TradingView.
Il post offre l'accesso a vita a una versione premium della piattaforma. Ciò che rende questa discussione ancora più interessante è un commento lasciato dall’autore del post originale, il quale si offre di fornire assistenza in caso di necessità e afferma che «un vero virus su un Mac sarebbe davvero incredibile».
Download
Malwarebytes ha analizzato entrambi i link e ha scoperto che il malware è ospitato su un sito web di proprietà di un’impresa di pulizie con sede a Dubai. È stato accertato che il sito web utilizzasse la versione 7,3,33 di PHP, che, come sottolinea Malwarebytes, ha raggiunto la fine del ciclo di vita già nel 2021 e lo rende vulnerabile ad attacchi.
Malware con doppia compressione
Sia AMOS che Lumma erano protetti da doppia crittografia, e la seconda crittografia richiede una password. Questo dovrebbe far insospettire alcune vittime, poiché i download di software legittimi spesso non sono compressi in un doppio file ZIP.
Malwarebytes ha inoltre esaminato più da vicino il malware AMOS e lo stealer per macOS (si apre in una nuova scheda) , scoprendo che l’ultima versione include controlli volti a rilevare la presenza di macchine virtuali e, qualora ne venissero individuate, interrompe l’esecuzione.
Il malware Windows viene caricato da un file .bat che esegue uno script AutoIt dannoso. Il server C2 associato a questo malware è un dominio registrato di recente.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’autore di questa campagna sta portando social engineering (si apre in una nuova scheda) un passo oltre rispetto a molte campagne di software pirata, includendo un commento che cerca di placare eventuali sospetti che la vittima possa nutrire.
Non solo il commento cerca di chiarire il motivo per cui il dispositivo potrebbe visualizzare messaggi di avviso durante il download del software, ma offre anche assistenza diretta qualora dovesse riscontrare difficoltà nell’eseguirlo. Questo commento potrebbe essere sufficiente a ingannare un numero maggiore di vittime rispetto alle campagne che non prevedono l’offerta di “consigli”.
Quasi il 41% degli accessi degli utenti è avvenuto utilizzando password compromesse
Secondo l’ultimo rapporto di telemetria di Cloudflare (si apre in una nuova scheda), il 41% degli accessi riusciti avviene tramite password compromesse.
Ciò è in gran parte dovuto al riutilizzo delle password: molti utenti utilizzano infatti la stessa password per più account, «creando un effetto a catena di rischio quando le loro credenziali vengono divulgate».
Ambito dell'analisi
Cloudflare ha analizzato il traffico relativo agli accessi proveniente dai siti web protetti da Cloudflare nel periodo compreso tra settembre enovembre 2024.
Per i siti protetti da Cloudflare, le password inserite vengono sottoposte a hash e confrontate con un database contenente credenziali note che sono state oggetto di fughe di dati o compromissioni. Quando Cloudflare parla di credenziali trapelate, si riferisce a “nomi utente e password resi pubblici in seguito a violazioni dei dati note o alla diffusione di database di credenziali”.
Il 41% degli accessi è a rischio
La prima sfida di Cloudflare è stata quella di distinguere tra accessi legittimi e accessi provenienti da soggetti malintenzionati.
A tal fine, ha dovuto comprendere il comportamento umano, concentrandosi sui tentativi di accesso riusciti. Da questi dati è emerso che circa il 41% dei tentativi di autenticazione umana andati a buon fine avveniva utilizzando credenziali trapelate. Cloudflare ha quindi esteso la propria analisi al traffico generato da utenti umani e da bot, portando la percentuale di password trapelate dal 41% al 52%.
Utilizzo di password trapelate
Cloudflare ha accertato che il 95% dei tentativi di accesso effettuati nel corso di attacchi di tipo “credential stuffing” che coinvolgono password trapelate proviene da bot.
I bot sfrutteranno in modo specifico le credenziali rubate e potranno prendere di mira siti su larga scala. Spesso, dopo essere riuscito a violare un singolo account, un bot utilizzerà tali credenziali per accedere a numerosi altri servizi, evidenziando ancora una volta il rischio legato al riutilizzo delle password.
Attacchi di forza bruta contro WordPress
Cloudflare ha condotto un’indagine specifica sugli attacchi di tipo “brute force” diretti contro i siti WordPress, che sono spesso oggetto di tali attacchi. È emerso che il 76% dei tentativi di accesso effettuati utilizzando password trapelate ha avuto esito positivo sui siti WordPress.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sebbene l’analisi di Cloudflare sia limitata ai siti che utilizzano i suoi servizi (circa il 20% di tutti i siti), è probabile che tali risultati riflettano le tendenze registrate su Internet in generale.
Ciò evidenzia un fatto importante: il rischio di fuga delle credenziali è notevole e il riutilizzo delle password aggrava tale rischio. Cambiare frequentemente le password, in particolare a seguito di una violazione, è utile, ma l’autenticazione a più fattori (MFA) (si apre in una nuova scheda) e il rilevamento delle credenziali trapelate, come raccomanda Cloudflare, sono essenziali per migliorare il monitoraggio in tempo reale.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per ulteriori approfondimenti, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche della serie “ ”: (si apre in una nuova scheda),e .
