Nella rassegna di questa settimana, CTI analizza una campagna legata a Teams di Microsoft che diffonde il malware DarkGate Loader. Di seguito vi presentiamo una panoramica su una campagna di phishing denominata “ ” ( ), che sta diffondendo una nuova variante di Agent Tesla. Infine, CTI analizza una variante avanzata del malware Chaes che utilizza un’implementazione personalizzata del protocollo DevTools di Google per ottenere l’accesso diretto alle funzioni del browser.
1. Gli hacker prendono di mira i team di " Microsoft " con il malware DarkGate Loader
Truesec ha recentemente analizzato una campagna condotta tramite Microsoft Teams ( Microsoft ) che distribuisce alle vittime il malware DarkGate Loader . In questa campagna, gli autori delle minacce inviano messaggi di chat compromessi ad account esterni di Office 365 e ricorrono all’ingegneria sociale per indurre le vittime a scaricare e aprire file dannosi.
Chi sta diffondendo DarkGate Loader?
Truesec ha utilizzato lo strumento di eDiscovery di Purview, disponibile all’indirizzo Microsoft , per individuare i mittenti in Teams dell’ Microsoft . Hanno identificato i due mittenti come:
- Akkaravit Tattamanas (63090101@my.buu.ac[.]°)
- ABNER DAVID RIVERA ROJAS (adriverar@unadvirtual.edu[.]co).
I ricercatori hanno confermato che questi due account sono stati compromessi tramite un malware sconosciuto e messi in vendita sul dark web all’indirizzo agosto 2023. Hanno quindi cambiato strategia per raccogliere ulteriori informazioni sul cliente O365 a cui appartenevano gli account, utilizzando i domini elencati per cercare ulteriori messaggi.
Entrambi i mittenti hanno utilizzato un messaggio di adescamento identico contenente un link a un file. Il file si chiama “Modifiche al calendario delle ferie.zip” ed è ospitato su SharePoint. Se la vittima fa clic sul link URL contenuto nel messaggio di Teams, viene reindirizzata al sito SharePoint dove il file è disponibile per il download. Microsoft Da allora, Defender ha identificato il file come “BAT/Tisifi.A#”.
Analisi del malware
Il file ZIP contiene un file LNK dannoso che si presenta come un documento PDF. Truesec ha estratto la riga di comando che sarebbe stata eseguita e ha scoperto che avrebbe avviato il download e l'esecuzione di un altro file.
I comandi utilizzano una versione di cURL disponibile su Windows, rinominata wbza, per scaricare ed eseguire il file Autoit3.exe e lo script allegato eszexz.au3. Lo script AutoIT precompilato nasconde il codice al centro del file individuando i byte magici.
AutoIT creerà un nuovo file contenente uno shellcode e verificherà se l'antivirus Sophos è installato prima di procedere all'esecuzione. In assenza di Sophos, viene deoffuscato del codice aggiuntivo presente nello script AutoIT per eseguire lo shellcode. Quando lo shellcode viene eseguito, viene caricato byte per byte utilizzando una tecnica di stringhe impilate per creare un nuovo file. Il payload può quindi essere estratto dalla memoria e analizzato. Su VirusTotal, il payload è stato identificato come DarkGate Loader.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Non è la prima volta che gli autori delle minacce sfruttano Microsoft Teams per svolgere attività dannose. Ad esempio, Microsoft ha recentemente individuato una campagna in cui alcuni attori malintenzionati russi prendevano di mira diverse organizzazioni tramite Teams con l’intento di indurre le vittime ad approvare richieste di autenticazione a più fattori (MFA) ricorrendo a tecniche di ingegneria sociale.”
“Microsoft ” ha già fornito in precedenza alcune raccomandazioni su come proteggersi da questi attacchi. Tuttavia, ciò ci riporta in definitiva all’importanza della formazione e dell’educazione in materia di sicurezza.”
2. Una campagna di phishing sfrutta la nuova variante di Agent Tesla
Fortinet ha recentemente rilevato una campagna di phishing che sta diffondendo una nuova variante di Agent Tesla, denominata “ ” (si apre in una nuova scheda). La campagna sfrutta due vulnerabilità precedenti, indicate con i numeri 2017 e 2018.
Sebbene le correzioni per queste vulnerabilità siano state rilasciate diversi anni fa, esse continuano a essere molto utilizzate dagli autori delle minacce — il che suggerisce che, a distanza di anni, vi siano ancora dispositivi non aggiornati in circolazione.
L'e-mail di phishing
Le due vulnerabilità sfruttate in questa campagna sono: CVE-2017-11882 (si apre in una nuova scheda) e CVE-2018-0802 (si apre in una nuova scheda). Entrambe sono vulnerabilità di esecuzione di codice da remoto (RCE) che provocano un danneggiamento della memoria all’interno del processo EQNEDT32.exe durante l’analisi dei dati dell’equazione appositamente manipolati. Lo sfruttamento di tali vulnerabilità può portare all’esecuzione di codice arbitrario.
Il file Excel allegato all’e-mail di phishing è in formato OLE (Object Linking and Embedding) e contiene dati di equazioni appositamente modificati che sfruttano tali vulnerabilità, arrivando infine a eseguire uno shellcode dannoso.
Quando la vittima apre il file allegato, Excel visualizzerà un messaggio ingannevole all’utente, mentre in background verrà eseguito lo shellcode contenuto nei dati Equation appositamente manipolati. I dati dell'equazione dannosa vengono analizzati automaticamente da un processo di MS Office, EQNEDT32.exe, che attiva la vulnerabilità CVE-2017-11882/CVE-2018-0802 e, di conseguenza, lo shellcode dannoso.
Una volta completata l’autodecrittografia, il compito principale dello shellcode è quello di scaricare ed eseguire un ulteriore file di malware. A tal fine, richiamerà diverse API per scaricare il malware in una cartella locale ed eseguirlo sul dispositivo della vittima.
Il file scaricato
Il file scaricato, dasHost.exe, è un programma .NET protetto da due packer. Estrae due moduli di esecuzione senza file: uno è il modulo payload di Agent Tesla e l’altro è un modulo di caricamento del file payload di Agent Tesla.
Carico utile di Agent Tesla
La funzione principale di questo payload, oltre alla persistenza, consiste nell’eseguire l’hollowing del processo prima di inserire un file eseguibile decriptato nel processo svuotato ed eseguirlo. Questo file eseguibile decriptato costituisce il modulo principale di Agent Tesla.
Il malware esegue un comando per creare un'attività nel TaskScheduler di sistema all'interno del modulo payload. L'attività è impostata per avviarsi al momento dell'accesso. Il modulo principale aggiunge inoltre una voce di avvio automatico nel registro di sistema che si avvia automaticamente all’avvio del sistema.
Il modulo principale di Agent Tesla raccoglierà informazioni dal dispositivo, tra cui le credenziali salvate di alcuni software, i dati registrati tramite keylogger relativi alla vittima e le schermate del dispositivo. È in grado di sottrarre le credenziali da determinati programmi installati sul dispositivo, tra cui browser web, client di posta elettronica e client FTP, per citarne alcuni.
L'Agent Tesla dispone di diverse modalità per inviare i dati rubati, tra cui l'utilizzo del metodo HTTP POST o l'invio come corpo di un'e-mail tramite SMTP. Questa variante sceglie di sottrarre i dati tramite e-mail. L'indirizzo e la porta del server SMTP sono entrambi hardcoded in questa variante.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questa campagna ha successo solo perché sfrutta due vulnerabilità. Ogni giorno, Fortinet rileva e neutralizza circa 3.000 attacchi e individua circa 1.300 dispositivi vulnerabili: un promemoria di quanto possa essere importante l’applicazione tempestiva delle patch."
"Questa attività evidenzia inoltre il fatto che gli autori delle minacce non si limitano a passare oltre una vulnerabilità una volta rilasciata una patch, ma potrebbero tentare di sfruttarla per anni a venire."
3. Il malware Chaes utilizza il protocollo DevTools di Chrome per sottrarre dati
È emersa una nuova e sofisticata variante del malware Chaes (si apre in una nuova scheda) che utilizza un’implementazione personalizzata del protocollo DevTools Chrome per accedere direttamente alle funzioni del browser della vittima e sottrarre dati tramite WebSocket. La catena di infezione prevede l’utilizzo di programmi di installazione ingannevoli di MSI che innescano un processo di infezione in più fasi, avvalendosi di sette moduli distinti per svolgere varie funzioni.
Che cos’è il malware Chaes?
Il Chaes esiste almeno fin dall’ novembre 2020, e la sua prima impennata si è verificata nel quarto trimestre del 2021. Si distingueva per la sua capacità di sottrarre dati finanziari relativi a MercadoLibre e per l’utilizzo di diversi linguaggi di programmazione.
Nel 2022 il malware è stato aggiornato con una catena di infezione perfezionata, una comunicazione potenziata C2 , nuovi moduli e l’adozione di WMI per la raccolta dei dati. La quarta e più recente versione di Chaes presenta miglioramenti significativi, tra cui un’architettura del codice ottimizzata e una maggiore modularità, livelli aggiuntivi di crittografia, un passaggio prevalente a Python, l’utilizzo di WebSocket per la comunicazione e altro ancora.
Inizializzazione e trasmissione del segnale di localizzazione di Chaes
La fase di inizializzazione del malware ha il compito di garantire la persistenza nel sistema e di trasferire l'esecuzione all'interno della memoria di processi legittimi. Uno script consente al malware di rimanere crittografato sul disco e ai moduli di essere decrittografati e caricati solo durante l'esecuzione. L'inizializzazione avverrà solo se l'istanza attualmente in esecuzione è unica, l'implant non è in esecuzione e il processo in esecuzione è Python (o una delle sue copie), il che indica che il malware deve essere inizializzato sul sistema.
Al termine della fase di inizializzazione, il malware esce dal processo corrente e il resto dell'esecuzione prosegue da uno dei processi iniettati. L'impianto funziona in un ciclo infinito, effettuando C2 comunicazioni. L'impianto risolve l' URL WebSocket C2’s utilizzando una richiesta TXT di tipo " DNS " indirizzata a un indirizzo predefinito.
Moduli aggiuntivi
Sono stati individuati sette moduli che possono essere aggiornati in modo indipendente senza modificare le funzionalità di base. Ciascuna di queste funzioni può essere inviata dall'autore della minaccia affinché venga eseguita sul sistema infetto.
Sebbene molti dei moduli fossero già presenti nelle versioni precedenti, questa versione offre una reimplementazione degli stessi, caratterizzata da funzionalità migliorate, un codice di base diverso e tecniche esclusive.
- Init: Si tratta del primo modulo inviato dall’autore dell’attacco. Funge da procedura di identificazione e registrazione delle nuove vittime. Raccoglierà dati sul sistema infetto.
- Online: Questo modulo invia un messaggio “online” all’autore dell’attacco e funge da modulo di segnalazione per monitorare quali delle vittime siano ancora attive.
- Chronod: Si tratta di un programma progettato per sottrarre credenziali e intercettare dati. Ha il compito di intercettare l'attività del browser per sottrarre informazioni all'utente.
- Appita: Questo modulo è simile al precedente sia nella struttura che nella finalità. Si riferisce specificatamente all’applicazione della Banca Itaú.
- Chrautos: Si tratta di un modulo ottimizzato basato su Chronod e Appita, caratterizzato da un’architettura del codice migliorata. È in grado di ampliare gli obiettivi e le attività e attualmente si concentra sui dati bancari e su quelli di WhatsApp.
- Stealer: Questo modulo è responsabile del furto di dati dai browser basati su Chromium, inclusi dati di accesso, carte di credito, cookie e informazioni di compilazione automatica.
- Caricamento di file: Questo modulo è in grado di individuare e caricare file dal sistema infetto sul server C2 . Nella versione attuale, il modulo carica solo i dati relativi all’estensione “ Chrome ” di MetaMask.
Google Abuso del protocollo DevTools
Il malware utilizza il protocollo DevTools di Google per connettersi all'istanza corrente del browser. Questo protocollo consente la comunicazione diretta con le funzionalità interne del browser tramite WebSocket. Consente all’autore dell’attacco di eseguire script, intercettare richieste di rete, leggere i corpi dei messaggi POST prima che vengano crittografati e molto altro ancora.
Il modulo Chrautos sfrutta il protocollo DevTools di Google per aprire attivamente il sito web di un servizio e sottrarre tutti i dati rilevanti, anziché attendere che sia l’utente ad aprire il servizio preso di mira.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il malware Chaes è in continua evoluzione ormai da alcuni anni. "Il suo recente utilizzo del protocollo DevTools di Google conferma ulteriormente questa tendenza."
"Secondo i ricercatori, si tratta del primo caso degno di nota di malware che utilizza un'implementazione personalizzata di questo protocollo DevTools per eseguire operazioni dannose. Detto questo, sarà interessante vedere se altre famiglie di malware inizieranno a sfruttare questa tecnica in futuro.”
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
