Questa settimana, CTI esamina Vortax, un software per riunioni virtuali di recente individuazione che, secondo quanto dichiarato dagli stessi autori, distribuisce programmi di furto di informazioni. A seguire, CTI analizza una campagna che diffonde malware tramite falsi messaggi di errore relativi a Chrome, Word e OneDrive. CTI wraps up with an overview of DISGOMOJI, a Linux malware that uses Discord for its C2 and leverages emojis to execute commands on infected devices.
1. Vortax diffonde un malware di tipo "infostealer"
Recorded Future ha individuato un software per riunioni virtuali di denominato Vortax che installa tre programmi di furto di dati durante l’installazione. Questa vasta campagna è condotta da un autore di minacce denominato “markopolo” e distribuisce Rhadamanthys, Stealc e Atomic macOS Stealer (AMOS).
AMOS non si vede spesso in natura, il che rende questa campagna davvero speciale. L'indagine condotta da Recorded Future sull'applicazione Vortax ha portato alla scoperta di altre 23 applicazioni macOS dannose che utilizzano tutte la stessa infrastruttura C2 .
Che cos’è Vortax?
Vortax è un software per riunioni virtuali, così come si autodefinisce, pubblicizzato come «un’alternativa multipiattaforma e utilizzabile direttamente nel browser, pensata per le aziende». Si afferma che il sistema utilizzi l’intelligenza artificiale per redigere sintesi delle riunioni e suggerire domande.
- Vortax è attualmente indicizzato da tutti i principali motori di ricerca, è attivo sui social media e gestisce un blog su Medium.
- Il software sostiene inoltre di avere una sede fisica a Toronto, ma l’indirizzo indicato è quello di un condominio.
- A prima vista, Vortax sembra essere un’azienda di software legittima, soprattutto considerando che sostiene di aver ricevuto riconoscimenti da Forbes e di aver ottenuto l’appoggio di aziende di grande prestigio come Uber. Da un'indagine condotta sul software non è emersa alcuna prova a sostegno di tali affermazioni.
- I suoi siti web ufficiali sono pieni di errori grammaticali.
Vortax Marketing
Come già sottolineato, Vortax promuove la propria attività sui social media e sui propri siti web. Dichiara di disporre di applicazioni per Windows, Linux, macOS, iOS e Android.
Per scaricare il software, gli utenti devono disporre di un “ID sala”, che devono ottenere tramite un invito alla riunione. Tali ID vengono solitamente diffusi in quattro modi diversi, tra cui messaggi diretti inviati dagli account dei social media, risposte all’account Vortax sui social media, post nei canali Telegram dedicati alle criptovalute e post nei canali Discord a tema criptovalute.
Scaricare Vortax
Quando un utente inserisce l’ID della stanza nel sito web di Vortax, viene reindirizzato a un sito Dropbox se utilizza Windows , mentre viene reindirizzato a un sito esterno se utilizza macOS. In ogni caso, il programma di installazione di Vortax verrà scaricato.
Il programma di installazione distribuirà il malware Rhadamanthys e “ ” (Stealc) agli utenti di Windows e AMOS agli utenti di macOS. Inoltre, l’ App e visualizzerà all’utente un messaggio a comparsa in cui si afferma che si è verificato un “errore critico” e che non è possibile eseguire il programma. Nel frattempo, diversi processi dannosi vengono eseguiti in background.
Sovrapposizioni di reti malevole
Recorded Future ha esaminato più da vicino i domini ospitati sullo stesso indirizzo IP e ha scoperto altri domini che ospitano applicazioni dannose, le quali a loro volta diffondono AMOS.
Ulteriori indagini su queste applicazioni hanno portato alla luce truffe simili a quella di Vortax, il che li ha indotti a ritenere che Markopolo sia responsabile di diverse truffe.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna rappresenta una variante delle campagne relative al software pirata che si svolgono ormai da parecchio tempo. Anziché spacciarsi per software legittimo e noto, questo autore crea un proprio software e spera che gli utenti siano interessati a installarlo. Le affermazioni infondate dell’attore potrebbero facilmente indurre gli utenti a ritenere che Vortax sia un’azienda legittima. Tuttavia, qualsiasi ulteriore ricerca susciterebbe probabilmente un certo scetticismo.
Come dimostra questo esempio, è importante che i dipendenti installino esclusivamente software approvato. E quando si tratta di software per uso personale, gli utenti finali devono comprendere cosa stanno installando e dedicare il tempo necessario a informarsi e a verificarne la legittimità.
Recorded Future sottolinea che il malware diffuso nell’ambito di questa campagna, denominato AMOS, non viene utilizzato spesso in ambito reale. Questa attività mette inoltre in luce quanto sia difficile monitorare questo tipo di campagne di furto di informazioni.
2. Una campagna di malware diffonde falsi messaggi di errore
Una nuova campagna sta diffondendo malware tramite falsi messaggi di errore relativi a Google Chrome, Microsoft Word e OneDrive. Ogni messaggio di errore mira a indurre gli utenti a eseguire uno script dannoso che installa malware sul loro computer.
Attività di ClearFake
Proofpoint ha individuato per la prima volta questa tecnica nell’articolo “ aprile 2024 ” e da allora l’ha rilevata in tutte le campagne ClearFake descritte in “” . Per contestualizzare, ClearFake è un gruppo di attività che solitamente sfrutta falsi aggiornamenti del browser per compromettere i siti web. In queste campagne, quando un utente visita uno di questi siti compromessi, il sito carica uno script dannoso tramite EtherHiding, il quale a sua volta esegue uno script secondario. Se l'utente rimane sul sito, vedrà quindi un messaggio di avviso fasullo che lo invita a installare un certificato radice per poter visualizzare il sito web senza errori.
Il messaggio visualizzato all'utente lo invita a eseguire manualmente uno script sul proprio computer. Questo script svuoterà la cache di DNS , cancellerà il contenuto degli appunti e scaricherà ed eseguirà in memoria uno script presente all’indirizzo PowerShell .
Il secondo script scarica un terzo script che verifica se si sta operando in un ambiente virtuale. Se non si trova in un ambiente virtuale, scaricherà un file ZIP, ne eseguirà il contenuto e comunicherà a ClearFake C2 che l’installazione è andata a buon fine. Nell’ambito di questo processo, il malware esegue il sideload di una DLL infettata da un trojan per caricare il malware Lumma Stealer, il quale svolgerà le proprie attività di furto di dati e scaricherà ulteriori payload.
Attività ClickFix
Nel mese di aprile, Proofpoint ha individuato diversi siti compromessi che reindirizzavano a un iframe. L'iframe appare agli utenti come un messaggio che indica che si è verificato un errore e che è necessario aggiornare il browser per risolvere il problema. Questa attività è stata denominata “ClickFix”.
Ancora una volta, il messaggio visualizzato all’utente mira a indurlo a copiare e incollare uno script dannoso. In tal caso, ciò comporterebbe l'installazione di Vidar Stealer. Pochi giorni dopo questa scoperta iniziale, i ricercatori hanno rilevato che il contenuto dell’iframe era stato sostituito con l’iniezione ClearFake di cui si è parlato in precedenza.
TA571 attività
Un attore identificato con il codice TA571 utilizza questa tecnica almeno fin dal 1 marzo 2024. Nel corso di quella campagna sono stati inviati oltre 100.000 messaggi e-mail. Le e-mail contengono un allegato HTML che sembra un documento Word di Microsoft . Una volta aperti, all’utente verrà visualizzato un messaggio di errore che indica che l’estensione “Word Online” non è installata e gli verranno proposte alcune opzioni per risolvere il problema.
Se l'utente seleziona l'opzione “Come risolvere il problema”, uno script PowerShell viene copiato negli appunti e il messaggio viene sostituito da istruzioni su come eseguire manualmente tale script. Se l'utente seleziona l'opzione “Correzione automatica”, si apre Windows Explorer e all'utente viene visualizzato un file ospitato su WebDAV.
Questo attore ha utilizzato questa tecnica negli ultimi mesi, variando le esche visive. In alcuni casi, l’autore dell’attacco ha utilizzato un allegato HTML che sembrava un documento ospitato su OneDrive e conteneva un altro messaggio di errore falso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Non è la prima volta che assistiamo a un caso in cui un autore di minacce ricorra a una tecnica che consiste, in sostanza, nel chiedere all’utente di copiare e incollare uno script per infettare il proprio computer.
Questa tecnica sembra stia diventando sempre più diffusa e stia aiutando gli autori delle minacce a diffondere una vasta gamma di malware. Tale popolarità è del tutto comprensibile, poiché l’autore dell’attacco non deve necessariamente essere particolarmente esperto o sofisticato, ma si affida invece alla vittima affinché svolga il lavoro più impegnativo.
I team di sicurezza dovrebbero formare e istruire gli utenti finali affinché evitino di eseguire script, a meno che non venga loro richiesto da un servizio di assistenza IT autorizzato.
3. Linux Il malware utilizza le emoji per eseguire comandi
According to Volexity, a newly discovered Linux malware called DISGOMOJI uses Discord for its C2 and leverages emojis to execute commands on infected devices.
Questo malware è specificamente destinato ai sistemi Linux e prende di mira le organizzazioni che, come è noto, utilizzano distribuzioni Linux . Si ritiene che il malware sia collegato a un attore con sede in Pakistan, identificato come UTA0137.
L'analisi di Volexity è partita da un file binario ELF scritto in Golang, fornito all'interno di un file ZIP. Il file binario inizia scaricando un PDF innocuo che funge da esca, in modo che la vittima abbia qualcosa da visualizzare che appaia apparentemente legittimo.
In background, il malware scaricherà da un server remoto un’istanza di DISGOMOJI, il payload della fase successiva. Questo payload viene inserito in una cartella nascosta e crea un canale dedicato nel server Discord, in modo che ogni vittima disponga di un proprio canale. Raccoglierà e invierà informazioni sulla vittima al canale e garantirà la continuità del processo tramite cron.
Questo malware eseguirà inoltre uno script che verifica la presenza di eventuali dispositivi USB collegati e copia i file da tali dispositivi.
Gli emoji vengono inviati nei canali creati per trasmettere comandi al malware. In risposta, viene inviata un'emoji raffigurante un orologio per confermare che il comando è in fase di elaborazione e, una volta completata l'operazione, viene inviata un'emoji raffigurante un segno di spunta.
Comportamento post-infezione
Dopo aver diffuso il malware DISGOMOJI, UTA0137 svolge diverse attività successive all’infezione. L'autore del reato utilizza Nmap per eseguire una scansione della rete, Chisel e Ligolo per la creazione di tunnel di rete, nonché il servizio di condivisione file oshi[.]at per preparare ulteriori strumenti.
In più di un’occasione l’autore dell’attacco ha impartito comandi che hanno aperto una finestra di dialogo all’utente, simulando un aggiornamento di Firefox e richiedendo la password dell’utente per procedere. In una recente campagna, questo attore ha utilizzato CVE-2922-0847, un exploit per l'escalation dei privilegi.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Poiché non si tratta di un metodo di attacco comune, potrebbe rappresentare una sfida per i software di sicurezza che si basano esclusivamente sul rilevamento di stringhe.
Al momento questa attività prende di mira enti governativi indiani e non sembra essere molto diffusa. Considerata la crescente diffusione degli attacchi mirati contro i dispositivi Linux e la nuova tecnica basata sulle emoji, la portata dell’attacco potrebbe ampliarsi qualora un numero maggiore di autori di attacchi ne sfruttasse i tassi di successo.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
