Per iniziare la rassegna di questa settimana, CTI analizza una nuova famiglia di programmi di furto di informazioni denominata MetaStealer, che prende di mira la piattaforma macOS. Di seguito vi presentiamo una nuova famiglia di ransomware denominata “ 03 ”, recentemente individuata in circolazione. È inoltre inclusa una panoramica sulle famiglie di malware RedLine e Vidar e su come gli autori delle minacce che le gestiscono stiano distribuendo payload di ransomware utilizzando le stesse tecniche di diffusione impiegate per diffondere gli infostealer.
1. Una nuova famiglia di programmi di furto di informazioni scritti in Go si sta diffondendo attraverso attacchi mirati
Sentinel One ha monitorato e analizzato una nuova famiglia di programmi di furto di informazioni per macOS denominata “ ” MetaStealer (si apre in una nuova scheda) per comprendere in che modo si differenzia dagli altri programmi di furto di informazioni apparsi di recente.
Secondo SentinelOne, molti dei campioni di MetaStealer vengono distribuiti all’interno di pacchetti di applicazioni dannose contenuti in un file dmg. I nomi dei file indicano che gli obiettivi erano utenti aziendali di dispositivi Mac . Tra i nomi dei file figurano “termini di riferimento pubblicitari (presentazione MacOS ).dmg”, “CONCEPT A3 : menu completo con piatti e traduzioni in inglese.dmg”, “AnimatedPoster.dmg” e “Brief_Presentation-Task_Overview-(SOW)-PlayersClub.dmg”.
Una versione di MetaStealer era denominata “Conract for paymen & confidentiality agreement Lucasprod.dmg” (errori ortografici presenti nel nome effettivo del file). Questo file è stato caricato su VirusTotal con un commento della vittima in cui si descrive in dettaglio come sia stata attirata nella trappola. La vittima riferisce di essere stata attirata con l'inganno da una persona che si spacciava per un cliente nel settore del design e che le ha inviato un file ZIP protetto da password contenente il file dmg dannoso. Altre versioni di MetaStealer hanno utilizzato nomi che simulavano file o software Adobe.
Pacchetti di applicazioni dannose
Le applicazioni contenute nelle immagini disco soddisfano i requisiti minimi necessari per la creazione di un bundle macOS. Il pacchetto contiene un file Info.plsit, una cartella “resources” contenente un’immagine di icona e una cartella “macOS” contenente l’eseguibile dannoso. Nessuno dei campioni esaminati da SentinelOne presentava una firma di codice né utilizzava una firma ad hoc, il che significa che l’autore della minaccia avrebbe probabilmente dovuto convincere la vittima a disattivare le protezioni, come Gatekeeper.
I campioni raccolti sono file binari a architettura singola x86_64 e funzioneranno esclusivamente su macchine Apple Silicon M1 e M2 con l’ausilio di Rosetta. Esempi di MetaStealer sono stati caricati regolarmente su VirusTotal.
Eseguibile Go offuscato
Il file eseguibile principale è un file Mach-O in formato “ Intel x86 ” contenente codice sorgente Go compilato e fortemente offuscato.
Il metodo di offuscamento è simile a quello utilizzato nei file binari offuscati dei malware Sliver e Poseidon. Nonostante l’offuscamento, i ricercatori hanno individuato funzioni volte all’esfiltrazione del portachiavi, all’estrazione delle password salvate e al recupero dei file. Alcune versioni contengono metodi per prendere di mira i servizi di Telegram e Meta.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«La comparsa di MetaStealer si inserisce nella recente tendenza che vede gli infostealer prendere di mira gli utenti di Mac . MetaStealer prende di mira specificatamente gli utenti aziendali di dispositivi macOS, il che è storicamente insolito per un malware di tipo " Mac ", che viene solitamente diffuso tramite software pirata o malvertising."
"MetaStealer fa ampio ricorso all'ingegneria sociale per indurre le vittime ad avviare autonomamente i payload dannosi. “Si tratta di un aspetto in cui gli autori delle minacce sembrano migliorare sempre di più, il che richiede a tutti noi di essere più vigili che mai.”
2. I ricercatori hanno individuato il ransomware “ 03 ” in circolazione
Symantec ha individuato in circolazione una nuova famiglia di ransomware denominata “ ”, disponibile ai seguenti indirizzi: 03, (si apre in una nuova scheda),e . Il 03 è stato rilevato in un singolo episodio in cui un affiliato ha distribuito il ransomware dopo un tentativo fallito di distribuire LockBit nella rete.
Informazioni generali sul ransomware “ 03 ”
03 È il nome che Symantec ha attribuito alla famiglia di ransomware, sulla base dei riferimenti al sito 03 presenti nella richiesta di riscatto e dell’estensione .threeamtime assegnata ai file crittografati.
Il ransomware è scritto in Rust e tenterà di arrestare diversi servizi prima di crittografare qualsiasi file. Una volta completata la crittografia, il sistema tenterà di eliminare le copie shadow del volume.
Ad oggi, il ransomware “ 03 ” è stato rilevato solo in pochissimi casi. È stato rilevato solo in un unico attacco, a seguito di un’operazione fallita di LockBit. Al momento non è chiaro se i suoi autori siano collegati ad attori o gruppi malintenzionati noti.
Preparazione all’attacco
La prima attività individuata da parte dell'autore della minaccia ha comportato l'utilizzo del comando gpresult per estrarre le impostazioni dei criteri applicate sul computer a un utente specifico. L'autore dell'attacco ha quindi eseguito vari componenti di Cobalt Strike prima di tentare di elevare i privilegi tramite PsExec, ha eseguito comandi di ricognizione (whoami, netstat, quser, netshare) e ha cercato di individuare altri server presenti nella rete per effettuare un movimento laterale. È stato quindi aggiunto un nuovo utente per garantire la persistenza, prima di utilizzare lo strumento Wput per trasferire i file su un server FTP.
L'autore dell'attacco ha tentato inizialmente di distribuire il ransomware LockBit, ma l'operazione è stata bloccata dalla rete. Ciò ha costretto l'autore dell'attacco a ricorrere invece all' 03 . L'utilizzo di 03 ha avuto successo solo in parte, poiché gli autori dell'attacco sono riusciti a installarlo solo su tre macchine, due delle quali hanno bloccato l'installazione.
03 analisi
Il ransomware è un eseguibile a 64 bit scritto in Rust. Riconosce i seguenti parametri della riga di comando:
- "-k" – 32 Base64 caratteri, indicati come "chiave di accesso" nella richiesta di riscatto
- "-p" – Sconosciuto
- "-h" – Sconosciuto
- "-m" – Metodo, in cui il codice verifica uno dei due valori prima di eseguire la logica di crittografia:
- "locale"
- "net"
- "-s" – determina gli offset all’interno dei file da crittografare per regolare la velocità di crittografia. Tale valore è espresso sotto forma di cifre decimali.
I parametri della riga di comando “-m” e “-h” si escludono a vicenda. L’utilizzo dei parametri “-h” e “-m” e dei relativi valori “local” e “net” è molto simile a quello degli argomenti utilizzati da Conti. Una volta avviato, il programma tenterà di eseguire una lunga serie di comandi, molti dei quali mirano a disattivare vari software relativi alla sicurezza e al backup.
Il ransomware esegue quindi una scansione del disco e dei file che corrispondono a un criterio predefinito, crittografando i file ed eliminando gli originali. 03 crea quindi il file “RECOVER-FILES.txt” in ciascuna cartella sottoposta a scansione. Questo file contiene la richiesta di riscatto.
I file crittografati contengono una stringa di identificazione composta da 0x666 , seguita dai dati aggiunti dal ransomware. Una volta completata la procedura di crittografia, il sistema tenterà di eliminare le copie di backup “Volume Shadow”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Non si riscontrano molte segnalazioni relative ad autori di minacce che abbiano tentato di distribuire un ransomware, per poi passare a un altro quando il primo è stato bloccato.» E si registrano ancora meno segnalazioni relative ad autori di attacchi che passano a forme di ransomware mai viste prima."
"Sembra un momento interessante per provare un nuovo ransomware, utilizzandolo come piano di riserva anziché con intenti malevoli." Poiché il ransomware “ 03 ” ha avuto solo un successo parziale, è possibile che l’autore di questa minaccia stia ancora sviluppando “03 ” e che abbia optato per quest’ultimo solo perché non aveva altra scelta. Considerando che è stato utilizzato come piano di riserva da un presunto affiliato di LockBit, non sarebbe una sorpresa vedere un maggiore ricorso a 03 in futuro.”
3. Gli autori delle minacce RedLine/Vidar si stanno orientando verso il ransomware
Trend Micro sta monitorando le famiglie di malware “ ”, “RedLine” e “Vidar” (si apre in una nuova scheda) sin dalla metà del 2022. Entrambe le famiglie sono state utilizzate per prendere di mira le vittime tramite attacchi di spear-e phishing. Tuttavia, indagini più recenti rivelano che gli autori delle minacce all’origine di queste famiglie di malware stanno ora distribuendo payload di ransomware utilizzando le stesse tecniche di diffusione impiegate per diffondere gli infostealer.
È stato osservato che gli autori delle minacce inviano ora un malware di tipo “infostealer” dotato di certificati di firma del codice EV, prima di inviare i payload del ransomware attraverso lo stesso canale.
Contesto
Le organizzazioni ricevono certificati di firma del codice con convalida estesa una volta verificata la loro esistenza giuridica e fisica in un Paese. Esiste una procedura di emissione che prevede una verifica dell’identità più approfondita rispetto ai normali certificati di firma del codice. Il processo prevede inoltre la generazione di una chiave privata, che richiede l’utilizzo di un token hardware.
Nonostante le misure di sicurezza aggiuntive messe in atto all’inizio di quest’anno, tra luglio eagosto 2023 sono stati rilevati oltre 30 campioni di file EV con firma digitale correlati a questa campagna/attività. L'infostealer Vidar correlato a questa attività era polimorfo, in quanto ogni campione presentava un hash diverso. Sebbene vi siano stati casi precedenti in cui gli autori delle minacce hanno utilizzato certificati EV per il proprio malware, Trend Micro sottolinea che questa è la prima volta che si riscontra un autore di minacce con un numero così elevato di campioni. Non è ancora noto in che modo l’autore dell’attacco sia riuscito ad accedere alla chiave privata.
Analisi tecnica
Gli autori delle minacce che utilizzano RedLine e Vidar ricorrono a tecniche comuni per indurre le vittime a eseguire file dannosi. Ciò comprende spesso lo spear phishing, l’uso di estensioni doppie e di file LNK, nonché il trasferimento di file dannosi tram Google Drive.
In un caso oggetto di indagine da parte di Trend Micro, la vittima ha ricevuto malware di tipo “infostealer” nell’ambito di una serie di campagne svoltesi a metà luglio di quest’anno. Successivamente, il 9 agosto, hanno ricevuto un payload di ransomware dopo essere stati indotti con l’inganno a scaricare/aprire l’allegato di una falsa e-mail di reclamo proveniente da TripAdvisor. L'allegato utilizzava la comune tecnica della doppia estensione — .pdf.htm — per indurre l'utente a credere che si trattasse di un file PDF.
Dopo aver aperto questo allegato e aver cliccato su “leggi il reclamo”, l’utente ha eseguito, a sua insaputa, diversi file JavaScript. Ciò ha a sua volta provocato il download e l'esecuzione del file “TripAdvisor Complaint-Possible Suspension.exe”. Questo file eseguibile si è collegato a due URL, leggendo e trasformando il contenuto di un file PNG in shellcode crittografato. Lo shellcode è stato decriptato per generare un ulteriore shellcode da iniettare.
Il payload del ransomware è stato infine identificato come Ransom.Win64.CYCLOPS.A è stato inserito in rgb9rast.exe, un’applicazione da console autonoma legittima di 7-Zip. A quel punto ha lasciato la richiesta di riscatto, ha crittografato i file con estensione .knight_l e ha stabilito una connessione in uscita SMB per crittografare i file presenti sulla rete.
Indicatori aggiuntivi
Gli autori dell’attacco hanno inoltre utilizzato altri nomi per i propri file dannosi privi di firma digitale EV, quali “Additional informatoin about the reservation.exe” — in cui il termine “informatoin” è scritto in modo errato al posto di “information” — e “TripAdvisor Complaint - Possible Suspension.exe ransomware”. Anche i nomi di questi file aggiuntivi presentavano estensioni doppie, come jpg.exe e pdf.exe.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sebbene fossero state adottate ulteriori misure di sicurezza, gli autori delle minacce sono comunque riusciti in qualche modo a diffondere malware finalizzato al furto di informazioni, il cui codice era firmato con certificati EV.»
"Non è ancora chiaro in che modo l'autore dell'attacco sia riuscito a procurarsi la chiave privata necessaria per compiere tale azione. Si tratta di un aspetto su cui la CTI spera di approfondire le proprie conoscenze in futuro. Ciò che suscita maggiore interesse è il cambiamento che hanno operato in questa campagna, passando dalla semplice distribuzione di malware all’invio successivo di payload di ransomware."
"Data la diffusione del ransomware nell’ultimo anno (se non da più tempo), sta diventando sempre più comune osservare come gli autori delle minacce si stiano aggiungendo al fenomeno del ransomware.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
