Nella rassegna di questa settimana, CTI spiega in che modo l’operazione ransomware TargetCompany sta minacciando i server ESXi con una nuova variante di Linux . A seguire, il CTI indaga su un attore di spionaggio finora non documentato, ora identificato come LilacSquid, che viene collegato a diversi attacchi negli Stati Uniti, in Europa e in Asia. Infine, CTI analizza come gli autori delle minacce di DarkGate stiano iniziando ad abbandonare gli script AutoIt per passare ad AutoHotkey al fine di eseguire il payload finale.
1. La variante “ Linux ” di TargetCompany minaccia gli ambienti ESXi con nuove tecniche
L’operazione ransomware TargetCompany sta ora prendendo di mira i server ESXi con una nuova variante denominata “ ” ( Linux) (si apre in una nuova scheda).
L'ultima variante utilizza uno script shell personalizzato per distribuire ed eseguire i payload e per esfiltrare i dati verso due diversi server controllati dall'autore dell'attacco a scopo di backup.
Che cos’è TargetCompany?
Il gruppo di ransomware TargetCompany è stato individuato per la prima volta nel 2021 e gestisce un sito dedicato alla divulgazione di dati sotto il nome di “Mallox”.
Come molte operazioni di ransomware, TargetCompany ha continuato a perfezionare le proprie tattiche, tecniche e procedure (TTP), introducendo elementi quali script “ PowerShell ” per aggirare l’Antimalware Scan Interface (AMSI) e ricorrendo a packer con obfuscator “fully undetectable” (FUD).
Trend Micro ha individuato la variante “ Linux ” di tale operazione nel corso di un’attività di ricerca delle minacce.
La variante “ Linux ” di TargetCompany
La variante “ Linux ” verificherà se l’eseguibile dispone dei diritti di amministratore. Procederà solo se dispone di diritti di accesso amministrativo.
Una volta eseguito, creerà un file contenente le informazioni sulla vittima denominato “TargetInfo.txt”. Il contenuto di questo file viene inoltre inviato a un server C2 sotto forma di file denominato “ap.php”. Tale comportamento è simile a quello della variante “ Windows ” di TargetCompany.
Destinato agli ambienti ESXi
TargetCompany sta ora prendendo di mira i server di virtualizzazione per causare danni e disagi ancora maggiori.
Tale variante consente di determinare se una macchina è in esecuzione in un ambiente ESXi VMware . Se il sistema è in esecuzione sull’hypervisor ESXi di VMware, verranno crittografati i file con le seguenti estensioni: vmdk, vmem, vswp, vmsn, vmx e nvram. La variante aggiornerà i file crittografati aggiungendo l’estensione “.locked” e inserirà una richiesta di riscatto.
Esecuzione di script Shell
L'indagine condotta da Trend Micro (si apre in una nuova scheda) sul payload ha rilevato che viene utilizzato uno script shell sia per scaricare che per eseguire il payload del ransomware. Lo script è stato realizzato su misura appositamente per l'esecuzione di questa variante. Questo script è inoltre in grado di trasferire dati verso un server.
Come già osservato, questa variante invia i dati sottratti a due server diversi; secondo i ricercatori, ciò avviene a fini di ridondanza. Lo script provvederà quindi a eliminare il payload "TargetCompany".
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
TargetCompany sembra puntare agli ambienti , Linux , (si apre in una nuova scheda),e per ampliare il proprio bacino di utenza. Allo stesso tempo, TargetCompany sta trasferendo i dati verso due server diversi per aumentare le proprie probabilità di successo — molto probabilmente per disporre di un server di backup nel caso in cui uno dei due venisse compromesso o diventasse indisponibile. Ciò potrebbe essere una conseguenza dell’aumento del numero di operazioni di smantellamento condotte dalle forze dell’ordine negli ultimi mesi.
2. LilacSquid opera in diversi settori
Un attore di spionaggio finora non documentato, ora identificato come LilacSquid (si apre in una nuova scheda), è stato collegato a diversi attacchi negli Stati Uniti, in Europa e in Asia.
La campagna LilacSquid di (si apre in una nuova scheda) mira a ottenere un accesso a lungo termine con l’obiettivo di sottrarre dati di interesse. Gli attacchi utilizzano uno strumento di gestione remota open source insieme a una versione personalizzata di QuasarRAT, dopo aver compromesso server applicativi vulnerabili o aver utilizzato credenziali RDP compromesse.
Che cos’è LilacSquid?
Si ritiene che questo attore malintenzionato, specializzato in attività di spionaggio, sia attivo almeno dal 2021 e che tenda ad adottare una strategia a lungo termine, assicurandosi un accesso duraturo finalizzato al furto di dati.
- Cisco Talos ha segnalato almeno tre attacchi riusciti da parte di questo attore malintenzionato.
- Per ottenere l'accesso iniziale, questo attore sfrutterà delle vulnerabilità oppure utilizzerà credenziali RDP compromesse.
- Una volta ottenuto l’accesso, l’autore dell’attacco utilizzerà un’applicazione open source per la gestione remota, denominata MeshAgent, e una variante personalizzata di QuasarRAT, identificata come PurpleInk.
Le catene di contagio di LilacSquid
La prima catena di infezione di LilacSquid ha inizio con lo sfruttamento di un’ App web vulnerabile, mentre la seconda parte dall’utilizzo di credenziali RDP compromesse.
In entrambi i casi, il successo dell’attacco comporterà l’impiego di strumenti a duplice uso quali MeshAgent, SSF, InkLoader e PurpleInk, che rappresenta una versione fortemente personalizzata di QuasarRAT. PurpleInk è in fase di sviluppo attivo sin dal 2021 e ha continuato a evolversi fino a diventare un malware a sé stante. Il malware è offuscato e presenta numerose funzionalità RAT, tra cui la capacità di enumerare i processi e inviare dati al C2, terminare un processo, eseguire una nuova applicazione, ottenere informazioni sulle unità, enumerare una determinata directory, leggere un file specificato dal C2 e successivamente esfiltrarne il contenuto, nonché sostituire o aggiungere contenuto a un file specificato.
Il malware dispone inoltre di diverse modalità per comunicare con i propri server proxy , quali la connessione a un nuovo server, l’invio di dati a un server proxy nuovo o esistente, la disconnessione, nonché la ricezione di dati da un altro server proxy connesso e la loro elaborazione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'utilizzo di MeshAgent da parte di LilacSquid presenta analogie con quello di un altro attore malintenzionato nordcoreano denominato Andariel, che costituisce un sottogruppo all'interno del Lazarus Group. Altre analogie nelle TTP con questo gruppo destano certamente qualche perplessità, ma non è stato ancora stabilito un nesso definitivo. Tuttavia, il Gruppo Lazarus ha già condotto in passato attacchi su larga scala alla catena di approvvigionamen a (si apre in una nuova scheda) , come l’attacco denominato “3CX ”, resi possibili dal proprio accesso non autorizzato a lungo termine.
Detto questo, l’obiettivo di LilacSquid di mantenere un accesso a lungo termine potrebbe andare oltre le attività di spionaggio e «apire la strada a compromissioni della catena di approvvigionamento».
3. Il malware DarkGate sostituisce AutoIt con AutoHotkey negli attacchi più recenti
Secondo Trellix (si apre in una nuova scheda), gli attacchi che sfruttano il malware DarkGate (si apre in una nuova scheda) stanno iniziando ad abbandonare gli script AutoIt per passare all’uso del toolkit AutoHotkey al fine di eseguire il payload finale.
Un’analisi più approfondita delle campagne che utilizzano questa nuova tecnica ha inoltre portato alla luce alcuni server che ospitavano sia campioni di DarkGate che di PikaBot, il che indica che l’autore potrebbe utilizzare l’uno come soluzione di riserva rispetto all’altro.
Lo sviluppatore del MaaS DarkGate, RastaFarEye, è stato bandito da diversi forum clandestini verso la fine del 2023 a causa di numerose lamentele relative alle offerte. Nonostante ciò, il malware DarkGate ha continuato a essere diffuso e rilevato in ambiente reale. Si ritiene che RastaFarEye abbia adottato altri nomi commerciali per continuare a vendere la propria gamma di prodotti insieme a nuovi articoli.
La catena di esecuzione di DarkGate
Le campagne DarkGate cambiano frequentemente per adattarsi all’evoluzione del panorama delle minacce. Ad esempio, in passato il malware ha sfruttato il metodo AutoIt3 o il side-loading delle DLL per distribuire il payload finale. Nelle campagne più recenti, il malware sfrutta AutoHotkey, un interprete di script, per eseguire il proprio codice in tre fasi:
- La prima fase dell’attacco varia a seconda della campagna. Nelle ultime campagne, l’autore sta utilizzando e-mail di phishing con documenti allegati in formato Excel o HTML che inducono la vittima a fare clic su un pulsante che scarica una macro VBScript .
- La seconda fase è rappresentata dal file ` VBScript`, che contiene solo quattro righe di codice effettivo, responsabili dell’esecuzione del comando ` PowerShell `.
- La terza fase è costituita dallo script “ PowerShell ”, che ha il compito di scaricare tre file: l’interprete legittimo di AutoHotkey, uno script AutoHotkey e un file di testo in formato semplice. Questi file sono responsabili del download del payload di DarkGate.
Informazioni su DarkGate v6
DarkGate v6 ha ricevuto il più importante aggiornamento dalla quarta versione, con modifiche apportate alla configurazione, alle tecniche di elusione e ai comandi supportati. Il cambiamento più significativo consiste nella riorganizzazione dell’intero codice principale e delle modalità di elaborazione dei comandi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il malware DarkGate continua a evolversi e ad adeguarsi alle tendenze in continua evoluzione, come dimostra l’abbandono di AutoIt.
Ciò che è interessante è che queste campagne continuano a fare affidamento sull’interazione manuale dell’utente per attivare le macro all’interno di un documento e dare così il via alla catena di infezione. Pertanto, sebbene il malware stesso possa essere in continua evoluzione, la catena di attacco — o almeno l’accesso iniziale — sembra risalire a.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
