Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium esamina il malware XWorm, recentemente riapparso con oltre 35 plugin, tra cui uno che consente agli utenti di crittografare e decrittografare i file. Di seguito, il nostro team illustra in che modo Microsoft sia riuscita a identificare e neutralizzare diverse minacce sofisticate rivolte alla propria applicazione Teams. Infine, analizziamo lo sfruttamento attivo di una vulnerabilità critica presente in GoAnywhere Managed File Transfer (MFT).
Il malware XWorm riappare con un ransomware dopo una pausa
Trellix ha monitorato l'evoluzione del malware XWorm, che è recentemente riapparso dopo che il suo sviluppatore originario aveva abbandonato il progetto.
XWorm v6 è un sofisticato trojan di accesso remoto che utilizza un sistema modulare di plugin per eseguire una serie di attività dannose, tra cui il furto di credenziali, il controllo remoto e meccanismi di persistenza. Questa versione di XWorm introduce funzionalità di occultamento potenziate, l'esecuzione dalla memoria basata su plugin e l'integrazione con altre famiglie di malware.
L'abbandono e la rinascita di XWorm
Lo sviluppatore di XWorm ha cancellato il proprio account dopo aver rilasciato XWorm V5,6 verso la fine del 2024, portando i ricercatori a ritenere che si trattasse dell’ultima versione. A seguito di tale azione, altri soggetti hanno iniziato a distribuire e a utilizzare versioni crackate del malware.
All'indirizzo giugno 2025, i ricercatori hanno individuato un nuovo post che annunciava il rilascio di XWorm V6. Questa versione introduce una correzione relativa a una vulnerabilità RCE presente nelle versioni precedenti, oltre a numerosi altri aggiornamenti. Molti si sono chiesti se tale annuncio provenisse dallo sviluppatore originale del malware o se si trattasse semplicemente di qualcuno che cercava di sfruttare la notorietà del malware.
XWorm V6: L’ultima versione di XWorm
Trellix ha recentemente rilevato un aumento dei campioni di XWorm V6 su VirusTotal.
Le campagne che utilizzano la variante V6 del malware hanno inizio con un file JavaScript dannoso, disponibile all’indirizzo , diffuso tramite e-mail di phishing o siti web dannosi. Questo scarica ed esegue uno script PowerShell che disabilita l’Antimalware Scan Interface (AMSI) e installa uno strumento di iniezione. Questo strumento inserisce il codice dannoso in un programma legittimo di Windows . Il payload finale, XWorm V6, si connette quindi al proprio server di comando e controllo (C2).
Plugin XWorm V6
Il malware è dotato di un comando denominato "plugin", che consente ai suoi utenti di eseguire payload aggiuntivi. I payload sono tutti file DLL che vengono caricati ed eseguiti in memoria.
Trellix ha registrato il traffico di rete proveniente dai C2 server del malware per individuare i plugin utilizzati dal malware stesso, come illustrato in dettaglio nella sezione seguente. L'azienda ha inoltre rilevato che il malware eseguiva altre famiglie di malware quali DarkCloud, Phantom Stealer, Remcos RAT e molte altre.
Analisi dei plugin di XWorm
XWorm ora supporta oltre 35 plugin. Tra questi figurano, tra gli altri, RemoteDesktop.dll per la creazione di sessioni remote, plug-in per il furto di dati e FileManager.dll, che consente l’accesso al file system e la manipolazione dei file.
Il malware include inoltre un plugin denominato Ransomware.dll, che consente agli utenti di crittografare e decrittografare i file. Quando l'operatore utilizza questo plugin per ransomware, può personalizzare l'immagine da utilizzare come sfondo del desktop, l'indirizzo BTC, un indirizzo e-mail e l'importo del riscatto.
Trellix illustra in dettaglio molti di questi plugin nel rapporto, per chi fosse alla ricerca di approfondimenti di carattere più tecnico.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
XWorm V6 rappresenta un’evoluzione nel campo del malware modulare, consentendo agli autori degli attacchi di implementare funzionalità altamente mirate con un impatto minimo. Il gran numero di moduli disponibili in V6 consente agli operatori di personalizzarne le funzionalità in base a ciascun obiettivo, rendendo più complessa l’individuazione delle minacce e la risposta ad esse .
Le tecniche avanzate di persistenza di XWorm, i moduli per il furto di credenziali e l’integrazione con altre famiglie di malware ne fanno uno strumento potente sia per lo spionaggio che per gli attacchi finanziari, in particolare quelli che comportano una compromissione a lungo termine.
Microsoft contrasta diverse minacce rivolte a Teams
Microsoft ha individuato una serie di minacce informatiche denominate “ ” e ha neutralizzato una serie di sofisticate minacce informatiche rivolte alla propria applicazione Teams, tra cui tecniche di ingegneria sociale denominate “”, la diffusione di malware e l’uso improprio delle funzionalità di collaborazione da parte sia di criminali che di attori statali.
Sebbene non siano del tutto specifici per Teams, esistono alcuni framework open source in grado di «individuare utenti, gruppi e tenant meno sicuri in Teams», secondo quanto riportato su Microsoft. Gli strumenti open source sono in grado di analizzare vari aspetti di Microsoft Teams, arrivando persino a rivelare lo stato di disponibilità attuale dell’utente qualora determinate impostazioni di privacy non siano attivate.
Per difendersi dalle minacce che incombono sui team di “ Microsoft ”, “ Microsoft ” continua a migliorare le proprie misure di protezione contro i tenant Entra ID falsi, nonché contro l’uso improprio da parte di malintenzionati dei tenant gratuiti e degli abbonamenti di prova. L’azienda delinea inoltre una strategia di difesa a più livelli che abbraccia identità, endpoint, applicazioni e dati, al fine di aiutare le organizzazioni a mitigare in modo proattivo i rischi in continua evoluzione.
Accesso iniziale
Gli autori delle minacce stanno utilizzando diverse esche nell’ambito della loro strategia di accesso iniziale che coinvolge Microsoft Teams. Una di queste esche è la famigerata truffa del supporto tecnico, che porta al download di uno strumento di monitoraggio e gestione remota (RMM).
Un esempio di ciò è rappresentato da un attacco sferrato da Storm-1811, che si è spacciato per un servizio di assistenza tecnica e ha tentato di risolvere un problema relativo a grandi quantità di posta indesiderata che lo stesso autore dell’attacco aveva generato. Successivamente sono stati scaricati strumenti RMM, utilizzati per diffondere payload di malware e ransomware.
Microsoft cita inoltre il caso in cui Midnight Blizzard si è spacciato per il servizio di assistenza tecnica per indurre le vittime a verificare i propri account e a inserire i codici di autenticazione necessari per l'accesso. I deepfake e l’intelligenza artificiale non faranno altro che rendere ancora più efficace questo tipo di ingegneria sociale tramite Teams.
Perseveranza
Per garantire la continuità di tali attacchi, gli autori delle minacce stanno abusando dei collegamenti presenti nella cartella di avvio per facilitare l’esecuzione di strumenti dannosi e stanno inoltre sfruttando le funzionalità di accessibilità, come la funzione “tasti adesivi”. Gli attori potrebbero inoltre creare account utente ospiti all’interno dei tenant a cui hanno accesso, al fine di mantenere tale accesso.
Microsoft evidenzia il caso in cui Storm-2373 ha sfruttato i flussi di autenticazione del codice del dispositivo per acquisire i token di autenticazione. L'autore del reato ha interagito con le vittime tramite chat su Teams per instaurare un rapporto di fiducia, prima di indurle ad autenticarsi e sottrarre il token.
Esecuzione ed escalation dei privilegi
Admin Tali account sono vantaggiosi per gli autori delle minacce, poiché dispongono dei privilegi elevati necessari per compiere ulteriori attività dannose. Oltre a questi account amministrativi, gli autori degli attacchi prendono di mira anche gli utenti comuni, indurli con l’inganno ad aprire link o file inviati tramite Teams, proprio come avviene quando vengono inviati tramite e-mail.
Per quanto riguarda l’escalation dei privilegi, è stato osservato che gli autori registrano i dispositivi sotto il loro controllo e tentano di modificare i gruppi di autorizzazioni.
Accesso tramite credenziali
Un soggetto in possesso di un token di aggiornamento valido può facilmente assumere l'identità degli utenti avvalendosi delle API di Teams. Esistono diversi strumenti di livello amministrativo che potrebbero essere utilizzati in modo improprio dagli autori delle minacce per intercettare i token. Inoltre, l’autore dell’attacco potrebbe ricorrere al “password spraying” per ottenere le credenziali.
Scoperta
È inoltre noto che gli autori delle minacce sfruttino Microsoft Teams per effettuare attività di ricognizione, analizzare i dati di configurazione di Teams ed enumerare le applicazioni, qualora ne abbiano l’accesso.
Microsoft cita l'esempio di Void Blizzard, un attore che ha sfruttato AzureHound per individuare la configurazione di Entra ID relativa a Microsoft di un'organizzazione. L'attore è riuscito a scoprire dettagli relativi a utenti, ruoli, gruppi, app e così via. L'attore è riuscito inoltre ad accedere ad alcune conversazioni su Teams.
Movimento laterale e raccolta
Microsoft sottolinea che, qualora un attore ottenesse l’accesso amministrativo a Teams, potrebbe potenzialmente «sfruttare le impostazioni di comunicazione esterna e abilitare relazioni di fiducia tra le organizzazioni per muoversi lateralmente».
Gli attori potrebbero inoltre cercare di sfruttare Teams per ottenere altre informazioni e raccogliere dati che potrebbero rivelarsi utili al raggiungimento dei propri obiettivi.
C2 ed esfiltrazione
I malintenzionati cercheranno di diffondere malware tramite Teams, spesso tramite allegati. Alcuni strumenti sono addirittura dotati di funzionalità specifiche per creare C2 canali c Microsoft Teams.
Gli autori degli attacchi potrebbero utilizzare anche i messaggi di Teams per l'esfiltrazione. Come sottolinea Microsoft , esistono strumenti creati appositamente a questo scopo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il continuo sfruttamento di Microsoft Teams evidenzia come le piattaforme di collaborazione siano diventate parte integrante delle moderne superfici di attacco, richiedendo ai responsabili della sicurezza di trattarle con la stessa attenzione riservata agli endpoint tradizionali e ai sistemi di posta elettronica.
Inoltre, il ricorso da parte degli autori degli attacchi a soggetti legittimi e al branding per conquistare la fiducia degli utenti costituisce un chiaro monito sul fatto che la verifica dell’identità “ ” debba andare oltre gli indicatori superficiali, specialmente in contesti in cui la collaborazione con soggetti esterni è una pratica comune.
Il rapporto di Microsoft è ricco di utili indicazioni sulle misure di mitigazione e protezione, oltre che di rilevamenti di Defender e query di ricerca volte ad aiutare a identificare questa minaccia e a proteggersi da essa.
Storm-1175 sfrutta una vulnerabilità critica di GoAnywhere MFT
Microsoft ha individuato lo sfruttamento attivo di una vulnerabilità critica (CVE-2025-10035) in GoAnywhere MFT, che consente l’esecuzione remota di codice senza autenticazione tramite una risposta di licenza contraffatta.
Storm-1175, un attore malintenzionato che agisce per motivi economici, sta sfruttando attivamente questa vulnerabilità per diffondere ransomware ed esfiltrare dati, rendendo urgenti le raccomandazioni relative alle misure di mitigazione e all’applicazione delle patch.
Informazioni su CVE-2025-10035
Il mese scorso è stato pubblicato un avviso di sicurezza che descriveva in dettaglio la vulnerabilità CVE-2025-10035 nel servlet di licenza di GoAnywhere MFT. A questa vulnerabilità è stato assegnato un punteggio CVSS pari a 10; essa potrebbe comportare l’iniezione di comandi e l’esecuzione di codice da remoto. Microsoft Da allora è stato rilevato un attore malintenzionato, identificato come Storm-1175, che sfrutta questa vulnerabilità.
La vulnerabilità consiste in un difetto di deserializzazione presente nella console Admin del servlet di licenze MFT di GoAnywhere. La vulnerabilità riguarda le versioni fino alla 7,8,3 e “consentirebbe a un malintenzionato di aggirare la verifica della firma creando una firma contraffatta nella risposta della licenza, il che consentirebbe poi la deserializzazione di oggetti arbitrari controllati dal malintenzionato”. A quanto pare, lo sfruttamento della vulnerabilità non richiede che l’autore dell’attacco effettui l’autenticazione, qualora sia in grado di creare o intercettare le risposte relative alle licenze, il che aumenta il rischio legato alla vulnerabilità.
Secondo Microsoft, questa vulnerabilità potrebbe consentire agli autori degli attacchi di effettuare l’individuazione dei sistemi e degli utenti, nonché l’implementazione di strumenti aggiuntivi, il tutto mantenendo un accesso a lungo termine.
Storm-1175 e CVE-2025-10035
Microsoft ha osservato che Storm-1175 sfrutta questa vulnerabilità in attacchi a più fasi. Per ottenere l'accesso iniziale, l'autore dell'attacco sfrutta la vulnerabilità presente in GoAnywhere MFT. Per quanto riguarda la persistenza, hanno utilizzato strumenti RMM, i cui file binari sono stati inseriti all’interno del processo GoAnywhere MFT.
L'attore potrebbe quindi utilizzare comandi di rilevamento e implementare strumenti aggiuntivi prima di spostarsi lateralmente all'interno della rete. Gli strumenti RMM sono stati nuovamente utilizzati per C2 scopi e sono state elaborate le relative informazioni. In uno dei casi osservati, è stato utilizzato anche il ransomware Medusa .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È importante sottolineare che Storm-1175 ha iniziato a sfruttare la vulnerabilità CVE-2025-10035 prima che venisse resa pubblica. Ciò dimostra come gli autori delle minacce stiano diventando sempre più abili nell’individuare e sfruttare le vulnerabilità zero-day, spesso più rapidamente di quanto i difensori riescano a reagire.
Poiché GoAnywhere MFT è ampiamente utilizzato negli ambienti aziendali per il trasferimento sicuro dei file, questa vulnerabilità costituisce un esempio lampante di come una singola falla in uno strumento di terze parti possa avere ripercussioni a catena.
Microsoft nel rapporto ha inoltre incluso le linee guida di mitigazione e protezione dell’ .
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l'argomento, vi invitiamo a consultare le nostre recenti rassegne informative sulle minacce informatiche.
