Nella rassegna di questa settimana, CTI analizza una sofisticata campagna di malware che distribuisce codice dannoso sfruttando la funzionalità di ricerca “ Windows ” incorporata nel codice HTML. Successivamente, CTI esamina il downloader RAT Remcos, che viene distribuito tramite file UUE compressi. Infine, CTI sta indagando per appurare se un’operazione del ransomware Black Basta abbia sfruttato una vulnerabilità di escalation dei privilegi denominata “ Windows ”.
1. Il malware sfrutta la funzionalità di ricerca " Windows " in HTML
Una sofisticata campagna di malware sta sfruttando le funzionalità Windows search (si apre in una nuova scheda) all’interno del codice HTML per distribuire malware.
Secondo Trustwave, l’autore della campagna sembra possedere una conoscenza approfondita delle vulnerabilità dei sistemi e dei comportamenti degli utenti, il che gli consente di condurre una campagna di phishing più sofisticata.
Questa campagna ha inizio con un’e-mail di phishing del tipo “ ” (si apre in una nuova scheda) che include un allegato HTML. Il file HTML è contenuto in un archivio ZIP per eludere i sistemi di scansione di sicurezza più tradizionali utilizzati nella posta elettronica.
Trustwave sottolinea che, finora, si è trattato di una campagna di portata limitata, poiché i ricercatori hanno rilevato solo pochi casi in ambiente reale.
L'allegato HTML
L'allegato HTML sembra a prima vista semplice, ma è stato concepito per sferrare un attacco sofisticato.
Quando la vittima apre il file, questo sfrutterà i protocolli web standard per sfruttare le funzioni di sistem Windows . Il codice contiene un attributo che indica al browser di ricaricare la pagina e di reindirizzare l'utente a un nuovo URL. Il codice contiene inoltre un ritardo specificato, che nella maggior parte dei casi è impostato su zero, in modo che il reindirizzamento avvenga istantaneamente.
Il codice HTML include inoltre un tag di ancoraggio che funge da meccanismo di riserva. Qualora l'aggiornamento non andasse a buon fine, l'utente potrà comunque cliccare su un link per avviare manualmente il resto della sequenza.
Sfruttamento del protocollo di ricerca
Una volta caricato il codice HTML, il browser in genere chiederà all’utente di autorizzare l’azione di ricerca.
Sono previste misure di sicurezza volte a impedire che comandi non autorizzati eseguano determinate operazioni dannose senza il consenso dell'utente. In questo caso, il reindirizzamento URL utilizza il protocollo “search:”, che consente a un’applicazione di interagire con la funzione di ricerca di Windows Explorer.
Dopo che l’utente avrà cliccato per autorizzare l’azione di ricerca, la funzione recupererà più file da un server remoto — solo uno dei quali apparirà nei risultati della ricerca. Questo file è un file LNK che rimanda a uno script batch presente sullo stesso server, il quale avvia ulteriori operazioni dannose. I ricercatori non sono riusciti a ottenere questo script batch.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questo attacco richiede l'interazione delle vittime, il che, si spera, ne limiterà l'efficacia.
Un aspetto da tenere presente riguardo a questo attacco è che prevede un avvio ritardato pari a zero, il che significa che la pagina effettuerà immediatamente il reindirizzamento senza lasciare all’utente molto tempo per reagire. Questo attributo potrebbe essere modificato in futuro per i reindirizzamenti ritardati.
2. Il malware Remcos RAT si diffonde tramite file UUE
Il downloader Remcos RAT " " (si apre in una nuova scheda) viene distribuito tramite file UUE compressi con Power Archiver. Il malware, che continua a essere diffuso tramite e-mail di phishing, ora allega file UUE dannosi a un’esca che riproduce l’aspetto di una fattura.
Informazioni sul metodo UUE
L'attore sta individuando nuovi modi per distribuire un copione VBS, codificandolo ora con l'allegato UUE.
UUE è l'acronimo di "Unix-to-Unix encoding" e viene utilizzato per lo scambio di dati tra sistemi Unix. Un file UUE tipico è composto da un'intestazione, dati codificati e una chiusura.
L'autore dell'attacco utilizza UUE per eludere il rilevamento. Una volta decodificato il file dell’autore dell’attacco, viene rivelato uno script VBS offuscato.
Il programma di download
Lo script VBS risultante salva uno script PowerShell nella directory Temp e lo denomina “Talehmmedes.txt”
Questo script verrà eseguito e provvederà a scaricare “Haartoppens.eft” nonché a eseguire uno script aggiuntivo denominato “ PowerShell ”. Questo script PowerShell , sottoposto a offuscamento, viene utilizzato principalmente per caricare un codice shell nel processo wab.exe. Lo shellcode caricato garantisce la persistenza aggiungendo una voce nel registro e, infine, eseguirà il RAT Remcos.
Il malware Remcos RAT in sé non sembra aver subito modifiche significative. Continua a raccogliere informazioni di sistema, salvandole nella directory %AppData% per poi trasmetterle al proprio server C2 .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sembra che questo autore dedichi più tempo e impegno alla ricerca di nuovi meccanismi di diffusione piuttosto che all’aggiornamento del malware stesso.
Questo approccio è ingegnoso in quanto l'autore dell'attacco potrebbe inizialmente penetrare nella rete senza essere individuato. Tuttavia, poiché non sono state apportate modifiche al malware stesso, è più probabile che venga individuato dai sistemi di difesa, in particolare da quelli che dispongono di meccanismi di rilevamento per tattiche, tecniche e procedure (TTP) note e indicatori di compromissione (IOC).
Detto questo, questa ricerca rimane comunque interessante in quanto mette in luce i file UUE come nuovi meccanismi di distribuzione.
3. Black Basta sfrutta una vulnerabilità di escalation dei privilegi di tipo " Windows "
I ricercatori ritengono che l’operazione del ransomware Black Basta, denominata “ ” (si apre in una nuova scheda) , possa aver sfruttato una vulnerabilità di escalation dei privilegi Windows, identificata con il numero CVE-2024-26169.
Questa vulnerabilità, classificata come altamente grave, è stata potenzialmente sfruttata nell’ambito di un attacco zero-day denominato “ ” (si apre in una nuova scheda) prima che venisse resa disponibile una patch nell’aggiornamento “Patch Tuesday” di marzo di Microsoft.
Che cos’è il CVE-2024-26169?
CVE-2024-26169 (si apre in una nuova scheda) è una segnalazione relativa a una vulnerabilità che consente l’elevazione dei privilegi nel servizio Windows Error Reporting . Quando un malintenzionato sfrutta questa vulnerabilità, può elevare i propri privilegi a livello di SYSTEM.
La vulnerabilità CVE-2024-26169 presenta un punteggio CVSS elevato, pari a 7,8, il che indica che si tratta di una vulnerabilità grave.
Sfruttamento
Una nuova ricerca indica che il gruppo di criminali informatici Cardinal (noto anche come Storm-1811, UNC4393 e responsabile del ransomware Black Basta) potrebbe aver sfruttato la vulnerabilità “ Windows ”.
Nella segnalazione iniziale della vulnerabilità si affermava che non vi fossero prove di un suo sfruttamento in ambiente reale. Tuttavia, l’analisi di uno strumento di exploit utilizzato in attacchi recenti rivela che esso potrebbe essere stato compilato prima del rilascio della patch, il che significa che la vulnerabilità avrebbe potuto essere sfruttat e come exploit zero-day (si apre in una nuova scheda).
Link relativi a Black Basta
Symantec ha analizzato uno strumento di exploit utilizzato di recente in un tentativo di attacco ransomware. Sebbene l’attacco non abbia avuto esito positivo, i ricercatori sono riusciti a collegarlo all’operazione Black Basta grazie alle tecniche, alle tattiche e alle procedure (TTP) utilizzate nell’attacco.
Strumento di exploit
Secondo Symantec, lo strumento di exploit «sfrutta il fatto che il file werkernel.sys, presente in Windows , utilizzi un descrittore di sicurezza nullo durante la creazione delle chiavi di registro».
Lo strumento creerà una chiave di registro e imposterà il valore “debugger” sul percorso del proprio file eseguibile. In questo modo, l’exploit è in grado di eseguire una shell con privilegi amministrativi.
La prima variante dello strumento utilizzato nell'attacco presenta un timestamp di compilazione pari a 27 febbraio 2024, ovvero diverse settimane prima del rilascio di una patch. Su Virus Total è stata individuata un’ulteriore variante dello strumento, con un timestamp di compilazione pari al 18 dicembre 2023.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Negli ultimi mesi, l’operazione ransomware Black Basta ha sfruttato in modo improprio prodotti legittimi di Microsoft , quali Quick Assist e Teams. Alla luce di ciò, è plausibile che l’autore dell’attacco possa aver tentato di sfruttare una vulnerabilità zero-day in un altro prodotto di Microsoft prima di questa attività. Lo strumento di exploit analizzato da Symantec sarebbe stato utilizzato in un attacco fallito, cosa che non si verifica spesso nel caso di questo gruppo particolarmente attivo.
Black Basta ha storicamente modificato le proprie tattiche, tecniche e procedure (TTP) con notevole rapidità (si apre in una nuova scheda), il che rende questo tentativo fallito probabilmente solo uno dei tanti che seguiranno.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
