Nella rassegna di questa settimana, CTI analizza i due bug più recenti presenti nel catalogo delle vulnerabilità note e sfruttate dell’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA). A seguire, CTI fornisce una panoramica sull’autore della minaccia UAC-0050, che attualmente sta diffondendo il RAT Remcos ricorrendo a tattiche di phishing di tipo “ ”. Infine, CTI esamina l’ultima versione del programma di furto di password Meduza, attualmente in circolazione sul dark web.
1. La CISA aggiunge due vulnerabilità al catalogo delle vulnerabilità note soggette a exploit (KEV)
Tra le recenti aggiunte della CISA al catalogo “Known Exploited Vulnerabilities” ( , KEV) (si apre in una nuova scheda) figurano una vulnerabilità corretta in Google Chrome e un bug che interessa Spreadsheet::ParseExcel, una libreria Perl open source.
L'agenzia ha fissato al 23 gennaio 2024 il termine entro il quale le agenzie federali dovranno risolvere i due problemi o cessare l'utilizzo dei prodotti vulnerabili.
Errore I: CVE-2023-7024
Il primo bug è CVE-2023-7024 (si apre in una nuova scheda), ovvero un overflow del buffer dell’heap in WebRTC per Google Chrome nelle versioni precedenti alla 120,0,6099,129. Tale vulnerabilità potrebbe consentire a un malintenzionato remoto di sfruttare una corruzione dell'heap tramite una pagina HTML appositamente modificata. Nel National Vulnerability Database presenta un punteggio base elevato, pari a 8,8 .
- Il gruppo di analisi delle minacce “ ” di Google (si apre in una nuova scheda) ha segnalato per primo la vulnerabilità su 19 dicembre 2023. Secondo i ricercatori, la vulnerabilità è stata sfruttata in ambiente reale prima che fossero rese disponibili le patch.
- Google Da allora ha rilasciato un aggiornamento di sicurezza che risolve un potenziale overflow del buffer dell'heap in WebRTC. Le versioni corrette sono state distribuite agli utenti di Windows (120,0,6099,129/130) e agli utenti di Mac e Linux (120,0,6099,129) il giorno successivo alla segnalazione inviata a Google.
- Questa vulnerabilità ha rappresentato l'ottava vulnerabilità zero-day rilevata nei browser web basati su Chromium nel 2023. Google non ha ancora fornito dettagli in merito ad attacchi specifici che abbiano sfruttato la vulnerabilità, precisando che le informazioni relative al bug potrebbero essere soggette a restrizioni fino a quando un numero maggiore di utenti non avrà installato la patch per risolvere il problema.
Bug II: CVE-2023-7101
La seconda vulnerabilità, CVE-2023-7101 (si apre in una nuova scheda), è stata individuata nella versione .65 di Spreadsheet::ParseExcel, un modulo Perl per l’analisi dei file Excel.
- È emerso che Spreadsheet::ParseExcel è esposto al rischio derivante da una vulnerabilità che consente l’esecuzione di codice arbitrario, in quanto trasmetteva dati non convalidati provenienti da un file a un comando “eval” di tipo stringa. Il problema derivava dalla valutazione delle stringhe di formato numerico nell’ambito della logica di analisi di Excel.
- Questo bug è ancora in attesa di analisi e non presenta ancora un punteggio di vulnerabilità.
- Barracuda ha reso nota una vulnerabilità leggermente diversa su 24 dicembre 2023, identificata con il numero CVE-2023-7102. Questa vulnerabilità zero-day era dovuta a una falla nella libreria di terze parti Spreadsheet::ParseExcel utilizzata dal programma antivirus Amavis in esecuzione sugli apparecchi Barracuda ESG.
- Questa vulnerabilità potrebbe essere sfruttata per eseguire codice arbitrario su dispositivi ESG privi di patch tramite iniezione di parametri. L'azienda ha quindi aperto il ticket n. CVE-2023-7101 per monitorare separatamente il bug nella libreria open source.
- Barracuda ha attribuito lo sfruttamento delle vulnerabilità da CVE-2023-7102 a UNC4841, che in precedenza erano state collegate allo sfruttamento di altre vulnerabilità zero-day di Barracuda. L'autore dell'attacco ha proseguito l'attività di sfruttamento con l'implementazione di nuove varianti di implant noti denominati SEASPY e SALTWATER, entrambi dotati di funzionalità di persistenza e di esecuzione di comandi.
- Mandiant ha condotto indagini sulle attività legate allo sfruttamento di tali vulnerabilità di Spreadsheet::ParseExcel, rilevando che, secondo le stime, dal ottobre 2022, sono state colpite organizzazioni pubbliche e private con sede in 16 paesi.
- Google Cloud ha segnalato di aver rilevato, non prima dell’ 30 novembre 2023, CVE-2023-7102 attacchi mirati contro aziende del settore high-tech, fornitori di tecnologie informatiche ed enti governativi, principalmente negli Stati Uniti e nella regione Asia-Pacifico.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sebbene l’annuncio della CISA sia importante e utile, è fondamentale comprendere che non è necessario attendere che le vulnerabilità vengano inserite nel KEV per decidere se applicare o meno le patch.
Come indica il nome stesso delle KEV, è noto che queste vulnerabilità siano state sfruttate in contesti reali. Se aspetta, potrebbe essere già troppo tardi. Il fatto che una vulnerabilità non figuri nell’elenco della CISA non significa che non venga sfruttata.
Detto questo, è certamente opportuno provvedere alla correzione di queste vulnerabilità appena individuate, se non lo si è già fatto.
2. UAC-0050 diffonde il RAT Remcos ricorrendo a nuove tattiche di phishing
Un autore di minacce identificato come UAC-0050 (si apre in una nuova scheda) sta conducendo attivamente attacchi di phishing per diffondere il RAT Remcos. L'attore ha adottato nuove strategie per eludere il rilevamento, tra cui l'integrazione di un metodo basato sui pipe per la comunicazione tra processi, al fine di creare un canale nascosto per il trasferimento dei dati.
Informazioni generali su UAC-0050
, di Uptycs, ha ricevuto un avviso (si apre in una nuova scheda) relativo a un file LNK sospetto presente su 21 dicembre 2023, che li ha indotti a condurre un’indagine più approfondita. Dalla loro analisi è emerso che UAC-0050 stava distribuendo il RAT Remcos nell’ambito di un’operazione mirata contro enti governativi ucraini.
Si ritiene che l’accesso iniziale avvenga tramite e-mail di phishing o spam camuffate da offerte di lavoro, rivolte al personale militare ucraino. Il file LNK ha il compito di avviare il download di un file HTA che contiene uno script VBS. Questo script attiva uno script PowerShell che, a sua volta, scaricherà un payload dannoso. L'esecuzione del payload porta infine all'avvio di explorer.exe con Remcos RAT presente nella memoria di explorer.exe.
Dettagli tecnici
Come già osservato, la catena di attacco ha inizio con un file LNK. Il file utilizzato in questo attacco ha raccolto informazioni sul software antivirus installato sul dispositivo preso di mira. Il file include inoltre una stringa offuscata " URL ", che viene eseguita tramite MSHTA.
Uptycs è riuscita a ottenere il file “ “6.hta” per un’ulteriore analisi, che ha portato alla scoperta dello script VBS in esso contenuto. Lo script “ PowerShell ”, eseguito tramite lo script VBS, svolge diverse operazioni, quali l’inizializzazione di una stringa, la creazione di oggetti di decrittografia, la creazione di flussi di memoria e altro ancora.
Il processo così reso comprensibile ha portato a un altro script PowerShell che creava percorsi di file nella directory AppData, verificava l’esistenza di file specifici e richiamava la funzione DcO per eseguire varie azioni.
Uptycs è riuscita a raccogliere tutte le attività di PowerShell che apparivano sospette e, alla fine, ha scoperto che i payload (word_update.exe e ofer.docx) erano stati scaricati dal dominio new-tech-savvy[.]com.
Informazioni sul carico utile
Eseguendo il payload “word_update.exe”, i ricercatori hanno scoperto che esso crea una copia di se stesso in una cartella appena creata, modificando il nome del file.
Il malware garantirà quindi la propria persistenza creando una voce nella cartella di avvio tramite la creazione di un file LNK, costringendo così il file dannoso copiato ad essere eseguito all’avvio del sistema. Questo file conteneva dati relativi alle risorse insoliti, che sono stati trasferiti in memoria e sottoposti a decrittografia.
Il malware ha quindi richiamato la funzione API WriteFile e ha sfruttato i pipe per aggirare diverse soluzioni di sicurezza. Il processo utilizza un handle indirizzato a un pipe senza nome e, una volta completato, i dati vengono trasmessi da word_update.exe a cmd.exe. I dati presenti in memoria sono stati decriptati durante l'esecuzione, prima dell'avvio del RAT Remcos.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’utilizzo di un metodo “pipe” per stabilire un canale nascosto finalizzato al trasferimento di dati non è una tecnica del tutto nuova, ma sembra essere una novità per questo attore malintenzionato — il che indica un cambiamento nelle sue TTP e potrebbe segnalare un crescente livello di sofisticazione.
Ciò che risulta interessante è l’utilizzo del RAT Remcos. L'autore dell'attacco sembra diffondere sempre più spesso questo RAT ed è stato persino segnalato in un avviso pubblicato dal CERT-UA lo scorso anno. Sebbene al momento l’attacco sembri essere piuttosto mirato, esso ricorre a TTP comunemente utilizzati e, pertanto, è comunque opportuno tenerlo sotto controllo.
3. Sul dark web è apparsa una nuova versione di Meduza Stealer
Resecurity ha recentemente individuato l’autore del programma di furto di password “ ” di Meduza (si apre in una nuova scheda) mentre rilasciava una nuova versione, la 2,2, sul dark web. La diffusione è stata annunciata sul dark web all’indirizzo 24 dicembre 2023.
L’ultima versione è stata rilasciata a pochi mesi dal lancio iniziale dello stealer, avvenuto a giugno, e sta già suscitando notevole interesse. I miglioramenti più significativi introdotti nella versione 2,2 sono il supporto di ulteriori client software, un tool di acquisizione dei dati delle carte di credito potenziato e l’aggiunta di meccanismi avanzati per l’estrazione dei dati relativi alle password su diverse piattaforme, al fine di ricavarne credenziali e token.
Che cos’è Meduza Stealer?
Meduza è apparsa per la prima volta sul forum underground XSS. In seguito ha ricevuto riscontri positivi anche da altre comunità, come Exploit.
Attualmente, il programma di furto supporta i server Windows 2012, 2016, 2019, 2022 e Windows 10/11. Meduza è in grado di sottrarre dati da un’ampia gamma di software e applicazioni, tra cui oltre 100 browser, più di 100 portafogli di criptovalute, l’app di messaggistica Telegram, Steam, Discord, 27 gestori di password, Outlook, i token " Google " e altro ancora.
Gli ultimi aggiornamenti relativi a Meduza Stealer
L'autore di Meduza sta apportando diversi miglioramenti alla versione 2024. Un aggiornamento fondamentale consiste nell’ottimizzazione e nella riscrittura del programma di intercettazione delle password, passando da STL a WinAPI. Ciò comporta numerosi miglioramenti alle comunicazioni " C2 " dello stealer.
La versione 2024 introdurrà inoltre uno stub di crittografia migliorato e una maggiore capacità di eludere i programmi antivirus; a fronte di un costo aggiuntivo, l’autore potrà fornire un’offuscamento avanzato dello stealer con una migliore copertura contro il rilevamento antivirus. Meduza ora supporta anche i nuovi portafogli di criptovalute basati su browser.
L'autore di Meduza ha stretto una collaborazione con un rinomato servizio di crittografia underground noto come TrueCrypt Service. Numerosi autori di malware e ransomware utilizzano questo servizio per occultare i payload ed eludere le soluzioni antivirus. Resecurity ha riscontrato che l'ultima versione del codice crittografato funzionava in una certa misura, essendo stata rilevata da un solo fornitore su VirusTotal al momento della scoperta.
Quanto costa Meduza Stealer?
Meduza Stealer 2,2 ha un prezzo di 199 dollari al mese, mentre l’abbonamento a vita costa 1199 dollari.
Il team offre inoltre servizi di crittografia con stub pubblici e privati e mette a disposizione server per ospitare C2 pannelli — a pagamento. Una volta che un autore di attacchi avrà effettuato il pagamento per Meduza, l’autore inviterà l’autore di attacchi in un canale privato di Telegram, dove riceverà il nuovo strumento. Secondo Resecurity, l’ultima versione disponibile sul canale privato di Telegram è Meduza 2,2,7, il che indica ulteriori miglioramenti apportati al malware.
Per installare Meduza, l’autore dell’attacco deve innanzitutto avviare il file condiviso MedusaServer.exe, installare la versione 3,10,2 di Python, installare il pacchetto ridistribuibile di Visual Studio Microsoft ed eseguire diversi comandi nella console. L'ultima variante di Meduza supporta la comunicazione tramite l'app di messaggistica Telegram per l'invio dei log da parte della vittima infettata.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'autore di Meduza sta lavorando alacremente per migliorare costantemente il malware e renderlo più allettante per gli autori delle minacce. La versione 2,2 è stata pubblicata su 24 dicembre e ora è già disponibile la versione 2,2,7 . Ciò dimostra la rapidità con cui il programma di furto di dati si sta evolvendo.
Alla luce del continuo sostegno e della crescita di Meduza, Resecurity ritiene che Meduza stia iniziando a competere con Azorult e Redline Stealer. Solo il tempo potrà dire quale successo avrà il Meduza Stealer.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .