Nella rassegna di questa settimana, CTI esamina una versione modificata di un plug-in predefinito di Notepad++ denominato mimeTools.dll, attualmente in circolazione. CTI sta ora indagando su una nuova ondata di ransomware “junk gun” a basso costo e di produzione indipendente, che si discosta dal tradizionale modello “ransomware-as-a-service” (RaaS). Infine, CTI analizza in dettaglio l’ultima campagna di malvertising “ Google ”, che sta portando in cima ai risultati dei motori di ricerca domini typosquat che imitano software legittimi per la scansione degli indirizzi IP.
1. I ricercatori hanno scoperto un plug-in modificato per Notepad++
I ricercatori hanno scoperto una versione modificata di un plug-in predefinito di Notepad++ denominato mimeTools.dll, che è attualmente in circolazione.
MimeTools.dll è un plug-in predefinito incluso nel file di installazione del pacchetto Notepad++. Per questo motivo, il file mimeTools.dll viene caricato automaticamente all’avvio del programma e non richiede alcun intervento aggiuntivo da parte dell’utente. È probabile che l'autore dell'attacco abbia utilizzato la tecnica del "DLL-hijacking" per eseguire la variante dannosa modificata.
Alla versione dannosa di mimeTools.dll è stato aggiunto uno shellcode dannoso codificato, insieme al codice necessario per decriptarlo. All’interno del pacchetto Notepad++, il file dannoso in questione si chiama certificate.pem.
ASEC ha esaminato più da vicino le caratteristiche del file mimeTools.dll in entrambe le versioni e ha riscontrato che l'unica differenza nel codice era rappresentata dal DllEntryPoint.
In che modo gli autori delle minacce utilizzano mimeTools.dll per diffondere malware
Poiché il file mimeTools.dll viene caricato come Notepad++, l’attività dannosa ha inizio immediatamente.
- Il malware utilizza diverse tecniche di chiamata di sistema indiretta durante l'esecuzione per eludere il rilevamento da parte dei prodotti anti-malware.
- Successivamente, il file certificate.pem viene decriptato ed eseguito. Il codice contenuto nella funzione GetBingMapsFactory() del file BingMaps.dll viene quindi sovrascritto con lo shellcode dannoso, il che comporta l’iniezione di un thread in explorer.exe.
- Viene quindi scaricato ed eseguito un ulteriore shellcode dal server C2 .
- La stringa utilizzata per comunicare con il C2 diventa un “ URL ” dopo essere stata elaborata da una determinata funzione. Per inviare informazioni al C2, queste vengono innanzitutto codificate nel Base64 e successivamente inserite nell’intestazione.
- Nel corso della loro analisi, i ricercatori hanno notato che il sito C2 era stato progettato in modo da assomigliare a una pagina di accesso di WordPress. Tuttavia, quando il malware è stato diffuso per la prima volta, si presentava come un sito wiki.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È evidente che l’autore dell’attacco all’origine di questa attività abbia preso di mira Notepad++ proprio a causa della sua popolarità.
Poiché l'autore dell'attacco sfrutta la fiducia degli utenti nei confronti del programma legittimo Notepad++ e non richiede alcuna ulteriore interazione manuale da parte dell'utente, è estremamente difficile prevenirlo.
Detto questo, il ricorso al dirottamento delle DLL da parte dell’autore dell’attacco rappresenta un’opportunità per il rilevamento, consentendo ai responsabili della sicurezza di contribuire all’identificazione di questo tipo di attacco.
2. Nei forum dedicati alla criminalità informatica fa la sua comparsa un nuovo ransomware di tipo “junk gun”
Sophos ha individuato un’ondata di ransomware di tipo “junk gun” denominato “ ”, che è “realizzato in modo indipendente, poco costoso e di fattura approssimativa”.
Secondo Sophos, questa ondata si discosta dal tradizionale modello “ransomware-as-a-service” (RaaS) che da tempo sta invadendo il panorama delle minacce informatiche. Tuttavia, si tratta comunque di un’opportunità allettante per i criminali informatici che intendono entrare nel mondo del ransomware.
Ransomware “Junk Gun”: una panoramica
Sophos ha individuato 19 diverse varianti del ransomware “junk gun” tra il giugno 2023 e l’ febbraio 2024.
Dei 19 campioni, molti sono attualmente in vendita, mentre altri risultano in fase di sviluppo. Non sono disponibili molti dettagli su ciascuna delle varianti di ransomware “junk gun” individuate, ma almeno tre di esse sarebbero state utilizzate in attacchi reali.
Poiché tutte queste informazioni sono state pubblicate da criminali informatici, è importante tenere presente che è possibile che alcune di queste varianti siano semplicemente una truffa volta a frodare altri criminali informatici.
Quanto costa il ransomware “Junk Gun”?
Queste varianti di ransomware basate su "junk gun" sono tutte relativamente economiche rispetto alle offerte standard di RaaS.
Tra gli immobili per i quali era indicato il prezzo, il prezzo mediano era di soli 375 dollari. E solo tre di questi ceppi prevedevano una sorta di modello di abbonamento, mentre i restanti venivano offerti a un costo unico una tantum, discostandosi ancora una volta dal modello RaaS.
Caratteristiche del ransomware "Junk Gun"
Ogni variante del ransomware “Junk Gun” tende a presentare caratteristiche diverse in termini di funzionalità. Gli autori delle minacce utilizzano una serie di metodi di crittografia, tra cui alcuni algoritmi rari come XTEA e Salsa20. Alcune varianti includono funzionalità che esulano dal ransomware tradizionale, quali il furto di informazioni e il keylogging, mentre altre varianti si concentrano su funzionalità tipiche del ransomware, quali la cancellazione delle copie shadow dei volumi e la crittografia multithread.
Sophos ha cercato di approfondire le indagini sugli sviluppatori responsabili del ransomware e ha scoperto che alcuni di essi stanno cercando di evolvere la propria offerta di prodotti e, in sostanza, di espandere la propria attività. Un esempio di ciò è rappresentato dallo sviluppatore del ransomware Loni, il quale pubblicizza il proprio prodotto come superiore alle offerte RaaS e sottolinea che intende potenziare la propria infrastruttura e creare un sito dedicato alla divulgazione di dati non appena saranno disponibili fondi sufficienti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Poiché le varianti del ransomware “Junk Gun” non dispongono di siti dedicati alla divulgazione dei dati rubati, risulta difficile per i ricercatori determinarne l’effettivo impiego in ambiente reale.
Questa offerta, che ricorda le "gun-style", differisce notevolmente dal modello RaaS, ma raggiunge comunque un obiettivo simile, ovvero ridurre i costi di accesso. Queste soluzioni consentono tuttora ai criminali informatici di vari livelli di entrare nel mondo del ransomware senza bisogno di conoscenze tecniche approfondite né di accesso a reti criminali.
Questa offerta potrebbe risultare più allettante per alcuni criminali informatici, poiché non prevede una ripartizione degli utili come nelle offerte RaaS. Come sintetizza Sophos, ciò «consente ai criminali di entrare in azione in modo economico, semplice e autonomo».
3. Una nuova campagna di malvertising prende di mira i team IT
L’ultima campagna di malvertising Google sta portando in cima ai risultati dei motori di ricerca diversi domini typosquat che imitano software legittimi per la scansione degli indirizzi IP.
La campagna mira a diffondere una nuova backdoor, denominata MadMxShell, che utilizza il sideloading di DLL in più fasi, sfrutta il protocollo DNS per le comunicazioni C2 ed è in grado di eludere le soluzioni di sicurezza basate sull’analisi forense della memoria.
Informazioni sulla campagna
L'autore della minaccia all'origine di questa campagna ha registrato diversi domini che si spacciano per software legittimi di scansione degli indirizzi IP, quali Advanced IP Scanner, Angry IP Scanner, PRTG IP Scanner e Manage Engine.
Tutti questi domini sono stati utilizzati negli attacchi di malvertising avvenuti nel mese di marzo. Il codice sorgente dei siti dannosi è pressoché identico a quello del sito legittimo, fatta eccezione per una modifica che reindirizza l’utente al download di un file dannoso.
La porta sul retro
Zscaler ha analizzato un campione denominato Advanced-ip-scanner.zip, nel quale sono stati individuati due file: un eseguibile, che è una copia rinominata del file legittimo oleview.exe, e una DLL.
Quando il file eseguibile viene avviato, carica lateralmente la DLL ed esegue una serie di shellcode. Nella fase successiva viene rilasciato un file eseguibile di Microsoft , denominato OneDrive.exe, debitamente firmato. Viene quindi sfruttata per caricare lateralmente una DLL aggiuntiva al fine di garantire la persistenza.
Il malware tenterà di disattivare Windows Defender, configurare un’attività pianificata e utilizzare tecniche anti-dumping prima di eseguire le tipiche operazioni di manipolazione dei file.
Il malware comunicherà inoltre con il proprio C2 inviando e ricevendo comandi codificati all’interno di query MX del protocoll DNS . Il malware è configurato con intervalli di tre secondi tra una richiesta e l’altra, un intervallo piuttosto breve e pertanto molto più evidente rispetto al malware che utilizza il protocollo HTTP per le comunicazioni C2 .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gli autori delle minacce ricorrono sempre più spesso alla pubblicità dannosa per diffondere malware a utenti ignari, il che sottolinea l’importanza di verificare i link presenti nei risultati dei motori di ricerca prima di cliccarvi ciecamente.
Ciò che contraddistingue questa campagna di malvertising è l’utilizzo di query MX di tipo “ DNS ” per le sue comunicazioni relative al numero C2 . A prima vista sembra una tecnica sofisticata, ma l’intervallo di soli tre secondi tra una richiesta e l’altra la rende piuttosto rumorosa.
Considerato il software che viene contraffatto, questa campagna sembra rivolgersi agli utenti del settore IT. Tuttavia, sembrano emergere regolarmente nuove campagne di malvertising che prendono di mira una vasta gamma di utenti che utilizzano software di vario tipo.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
