Nella nostra ultima rassegna di informazioni di intelligence, il CTI analizza la recente ondata di crimini informatici volta a trarre profitto dalla popolare applicazione ChatGPT di OpenAI. Le attività dannose rilevate spaziano dall’ Windows e dalla distribuzione di malware per Android al phishing e alle pagine di pagamento fraudolente. Successivamente, CTI analizza un’altra minaccia che grava su un repository di software open source, sotto forma di una campagna in cui gli autori delle minacce sfruttano l’automazione per generare migliaia di pacchetti di spam nel giro di poche ore. Infine, CTI analizza un nuovo programma di furto di informazioni denominato Stealc, che è stato recentemente scoperto in vendita sul dark web e descritto dai suoi sviluppatori come uno strumento di furto di informazioni completo e pronto all’uso.
1. Gli hacker utilizzano app ChatGPT contraffatte per diffondere malware di tipo “ Windows” su Android
Gli autori delle minacce hanno iniziato a sfruttare il chatbot ChatGPT di OpenAI (si apre in una nuova scheda) per distribuire malware destinato a Windows e Android, oltre a utilizzare pagine social false relative a questa tecnologia tanto pubblicizzata per reindirizzare le vittime verso pagine di phishing.
ChatGPT: un ripasso
ChatGPT è stato lanciato nel novembre 2022 e da allora ha riscosso un enorme successo, diventando quella che BleepingComputer definisce l’applicazione di consumo in più rapida crescita della storia moderna, con oltre 100 milioni di utenti al gennaio 2023. Sviluppato e lanciato da OpenAI, un’azienda specializzata nella ricerca e nello sviluppo nel campo dell’intelligenza artificiale (IA), ChatGPT è un chatbot basato su un modello di apprendimento automatico estremamente efficace.
Quasi immediatamente dopo il suo lancio pubblico, hanno cominciato a emergere segnalazioni che descrivevano casi in cui ChatGPT veniva utilizzato in modo improprio da autori di minacce informatiche per scopi dannosi. I ricercatori nel campo della sicurezza hanno segnalato attività dannose che coinvolgono l’utilizzo di ChatGPT per creare malware e strumenti di crittografia, agevolare attività fraudolente, redigere e-mail di phishing convincenti e altro ancora.
Da parte sua, OpenAI sembrava aver previsto tale attività. Un post pubblicato sul blog “ 20 febbraio 2018” del sito web di OpenAI, intitolato “: Preparing for Malicious Uses of AI (si apre in una nuova scheda)”, descrive un articolo di ricerca di cui l’azienda è coautrice:
Abbiamo collaborato alla stesura di un articolo che illustra come soggetti malintenzionati potrebbero fare un uso improprio della tecnologia dell’intelligenza artificiale, nonché i possibili modi in cui possiamo prevenire e mitigare tali minacce... L'intelligenza artificiale rappresenta una sfida per la sicurezza globale poiché riduce i costi di esecuzione di molti attacchi già esistenti, crea nuove minacce e vulnerabilità e complica ulteriormente l'attribuzione di attacchi specifici.
La crescita senza precedenti di ChatGPT ha infine indotto OpenAI a limitare l’utilizzo dello strumento, introducendo un piano di abbonamento da 20 dollari al mese per gli utenti che desiderano utilizzare il chatbot senza problemi di disponibilità.
La disponibilità costante crea nuove problematiche
Questa nuova restrizione all’accesso illimitato a ChatGPT ha dato origine a una situazione imprevista: ha creato le condizioni ideali per gli autori di minacce che intendono sfruttare la popolarità dello strumento, consentendo loro di attirare le vittime promettendo loro (falsamente) un accesso gratuito e ininterrotto al nuovo livello premium di ChatGPT.
Tali offerte mirano, in ultima analisi, a diffondere malware a vittime ignare o a convincerle a fornire agli autori degli attacchi le credenziali dei propri account.
Tra i primi a individuare un esempio di questa metodologia vi è stato il ricercatore di sicurezza Dominic Alvieri, il quale ha osservato che il dominio "chat-gpt-pc.online" veniva utilizzato per infettare i visitatori con il malware Redline, finalizzato al furto di informazioni, che si presentava come un download per un client desktop di ChatGPT Windows . Questo sito web veniva pubblicizzato tramite una pagina Facebook ricoperta di loghi ufficiali di ChatGPT, con l'intento di indurre gli utenti a farsi reindirizzare al sito dannoso. Promozioni simili sono state rilevate su Google Play e su negozi Android di terze parti App , ciascuno dei quali distribuiva software dannoso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Con l’aumentare della popolarità dei chatbot, cresce anche il numero di autori di minacce che cercano di sfruttare tali applicazioni per sferrare attacchi malware e di phishing.» Anche il numero di annunci pubblicati sui mercati clandestini, che vendono interfacce ChatGPT progettate per aiutare gli hacker inesperti a lanciare campagne di phishing convincenti o a migliorare il proprio malware, è aumentato in modo esponenziale in seguito al successo di ChatGPT. Ciò non fa che abbassare ulteriormente la soglia di accesso per gli hacker meno esperti che tentano di entrare nel mondo della criminalità informatica.”
2. Gli hacker hanno inondato il repository NPM con oltre 15.000 pacchetti di spam contenenti link di phishing
I ricercatori di Checkmarx hanno rilevato un’ondata di migliaia di pacchetti spam di tipo “ ” caricati nel repository open source NPM (si apre in una nuova scheda) da diversi account utente nel giro di poche ore.
Dall’indagine è emerso che i pacchetti sono stati creati mediante processi automatizzati. I pacchetti contengono lo stesso codice di automazione utilizzato per generarli, che secondo i ricercatori è stato probabilmente caricato per errore dall'autore dell'attacco.
Informazioni sulla scoperta
Checkmarx ha individuato un'anomalia nell'ecosistema NPM su 20 febbraio 2023, durante il confronto incrociato delle nuove informazioni con i propri database. I ricercatori hanno notato che su NPM erano stati pubblicati grandi quantità di nuovi pacchetti. È emerso che tali pacchetti facessero parte di un vettore di attacco molto diffuso, in cui gli autori degli attacchi inondano i repository open source di pacchetti contenenti link a campagne di phishing. Sembra che i processi automatizzati abbiano generato oltre 15.000 pacchetti su NPM e sugli account correlati.
Siti di phishing
Per promuovere la campagna di phishing “ ” (), gli autori dell’attacco hanno utilizzato pacchetti con nomi legati all’hacking, ai trucchi e alle risorse gratuite. Alcuni dei nomi dei pacchetti includono espressioni quali “free-tiktok-followers” e “free-xbox-codes” per indurre gli utenti a cliccare sui link di phishing con la promessa di trucchi per i videogiochi e un aumento del numero di follower. La sezione descrittiva dei pacchetti conteneva collegamenti a vari siti di phishing.
La campagna di phishing era collegata a diversi URL univoci distribuiti su più domini, ciascuno dei quali ospitava diverse pagine web di phishing in percorsi diversi. Le pagine di phishing risultano piuttosto convincenti e, in alcuni casi, includono persino finte opzioni di chat interattiva che rispondono ai messaggi qualora la vittima decida di interagire.
Le pagine di phishing presentano un flusso fittizio che simula l'elaborazione dei dati e la generazione del regalo promesso. Tale procedura falliva nella maggior parte dei casi, dopodiché alla vittima veniva richiesto di passare a una fase di verifica manuale. Ciò comportava il reindirizzamento dell’utente da un sito all’altro, con la richiesta di rispondere a varie domande e sondaggi. In molti casi, l’utente viene reindirizzato a un sito di e-commerce legittimo.
Premi per le segnalazioni a favore dell’autore dell’attacco
I ricercatori hanno individuato script Python simili, con funzioni analoghe, che sembrano essere proprio quelli che generano e pubblicano automaticamente i pacchetti di spam.
Hanno inoltre individuato altri file denominati “helper.txt” che sembrano far parte del processo di automazione. Un file degno di nota è uno script Python contenuto nei pacchetti che comprende tutte le fasi della pubblicazione del pacchetto.
Sembra che l’autore dell’attacco abbia creato o abbia avuto accesso a diversi siti simili a testate giornalistiche, sui quali poteva pubblicare contenuti. L'ultima operazione prevista nello script Python consiste nell'aggiungere dei link a post non correlati su questi siti di tipo giornalistico. Questi link rimandano alle pagine web dei pacchetti che l’autore dell’attacco ha pubblicato sul sito di NPM. A tal fine, l’autore dell’attacco utilizza il pacchetto Python “selenium” per interagire con questi siti WordPress. Prima di pubblicare i link ai pacchetti, devono autenticarsi come redattori.
I ricercatori ritengono che il caricamento di questi script non sia stato intenzionale. L’elemento principale a sostegno di questa convinzione è il fatto che gli script contengano le credenziali utilizzate per l’autenticazione sul sito WordPress.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questa vicenda evidenzia la rapidità con cui gli autori delle minacce sono in grado di adattarsi per stare al passo con i più recenti modelli di attacco redditizi. Molti degli attacchi precedenti, caratterizzati dalla presenza di pacchetti dannosi individuati nei repository open source, sembrano essere di portata più limitata, il che potrebbe indicare un metodo di diffusione più manuale. In questa campagna, l’autore dell’attacco ha portato la strategia a un livello superiore, dedicando tempo e risorse all’automazione per sferrare un attacco su più ampia scala che ha interessato oltre 15.000 pacchetti in un breve lasso di tempo.”
3. È emerso un nuovo malware denominato Stealc, dotato di un’ampia gamma di funzionalità di furto di dati
Un recente post pubblicato sul blog “ ” (si apre in una nuova scheda) dall’azienda specializzata in sicurezza informatica SEKOIA.IO descrive in dettaglio l’identificazione di un nuovo programma di furto di informazioni, denominato Stealc.
Stealc è stato individuato sul dark web e viene presentato dall’autore della minaccia come uno stealer completo e pronto all’uso, basato sugli stealer Vidar, Raccoon, Mars e Redline. L'indagine condotta da SEKOIA.IO ha portato alla scoperta di diverse decine di campioni di Stealc in circolazione e di oltre 40 server di comando e controllo di Stealc.
Stealc sul dark web
Il programma di furto di dati Stealc è stato pubblicizzato per la prima volta su forum clandestini di lingua russa all’indirizzo 9 gennaio 2023. L'autore dell'attacco che ne fa pubblicità si presenta con il nome di Plymouth su questi forum. Questo autore di minacce ha pubblicato una descrizione dettagliata in cui illustra il nuovo malware e la sua ampia gamma di funzionalità di furto di dati. Dopo questa prima pubblicazione, Plymouth ha continuato a promuovere Stealc, cercando di raggiungere un pubblico più ampio attraverso ulteriori canali.
Nel tentativo di conquistare la fiducia dei potenziali clienti, Plymouth ha offerto test “gratuiti” per l’individuazione di malware agli utenti di un forum dedicato alla criminalità informatica. Plymouth aveva bisogno di un valore pari a 0,02 Deposito in Bitcoin (che all’epoca corrispondeva a circa 400 dollari) per un test settimanale.
Plymouth ha finito per rilasciare diverse versioni di Stealc, pubblicando i log delle modifiche su vari forum e su un canale Telegram dedicato. La cronologia delle pubblicazioni di Plymouth rivela che Stealc è ancora in fase di sviluppo attivo.
Funzionalità dichiarate
In base all’annuncio pubblicato sul dark web, Stealc prende di mira i dati sensibili provenienti dalla maggior parte delle estensioni dei browser web per i portafogli di criptovalute, dai portafogli di criptovalute desktop e dalle informazioni provenienti da altre applicazioni, quali i programmi di posta elettronica e di messaggistica. A quanto pare, la configurazione della raccolta dei dati può essere personalizzata per adattare il malware alle esigenze dell'autore dell'attacco.
Stealc implementa uno strumento di acquisizione file personalizzabile che consente all’autore dell’attacco di sottrarre i file che soddisfano i criteri definiti dallo strumento stesso. Dispone inoltre di funzionalità di caricamento tipiche degli strumenti di furto di informazioni commercializzati come Malware-as-a-Service (MaaS). Stealc può colpire diversi browser web, da Chrome , fino a Opera e Firefox.
Il pannello di amministrazione di Stealc consente agli autori degli attacchi di impostare la configurazione del malware, analizzare/visualizzare/filtrare/ordinare/esaminare i dati sottratti e scaricare i registri.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Non c’è da stupirsi che Stealc sia un programma di furto di informazioni dotato di una gamma impressionante di funzionalità. Dopotutto, gli sviluppatori di malware rivali sono impegnati in una lotta costante gli uni contro gli altri, in competizione per vedere chi riesca a produrre più rapidamente lo stealer con il maggior numero di funzionalità. Ciò comporta in genere la creazione di nuove varianti di malware sulla base di codici copiati da altre famiglie di malware di alto livello.”
“In linea con questa tradizione, lo sviluppatore di Stealc sottolinea che questo malware si avvale di alcuni infostealer di grande rilievo come Raccoon e RedLine; il flusso costante di aggiornamenti applicati a Stealc sin dalla sua comparsa, avvenuta proprio il mese scorso, è indicativo della determinazione dello sviluppatore a portare questo malware allo stesso livello di altri infostealer concorrenti — e in tempi rapidi.”
“SEKOIA.IO ha inoltre comunicato che la sua analisi tecnica approfondita su Stealc sarà pubblicata a breve; seguiranno ulteriori aggiornamenti.”
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
