Questa settimana CTI analizza il ritorno del malware Bumblebee nel panorama delle minacce dopo una pausa di quattro mesi. Successivamente, CTI esamina il malware PikaBot, che è riapparso con modifiche significative al proprio codice e alla propria struttura. È inoltre inclusa un’analisi dettagliata delle modalità con cui gli autori delle minacce stanno utilizzando il Servizio di Notifica Semplice (SNS) di AWS e uno script personalizzato per lo spam denominato “SNS Sender” nell’ambito di una campagna di smishing attualmente in corso.
1. Bumblebee torna dopo una pausa
Secondo Proofpoint, il malware Bumblebee è tornato a far parte del panorama delle minacce dopo una breve pausa. Prima di questa campagna, rilevata su 8 febbraio, il malware Bumblebee era assente dai dati di Proofpoint da quattro mesi.
L'ultima campagna
Nell’ultima campagna di Bumblebee, gli autori delle minacce hanno inviato diverse migliaia di e-mail a varie organizzazioni negli Stati Uniti con oggetto “Voicemail February”.
Tutte queste e-mail sono state inviate dallo stesso indirizzo e-mail e contenevano URL di OneDrive. Se la vittima cliccava su un link URL di OneDrive, veniva reindirizzata a un documento Word che simulava il sito di un’azienda di elettronica di consumo denominata Humane.
Il documento Word utilizzava delle macro che creavano uno script nella directory temporanea di Windows . Le macro eseguirebbero quindi lo script tramite wscript.
Esecuzione di malware
Il file temporaneo rilasciato conteneva un comando PowerShell , responsabile del download e dell’esecuzione della fase successiva dell’attacco.
La fase successiva consisteva in un altro comando “ PowerShell ”, incaricato di scaricare ed eseguire la DLL di Bumblebee. La configurazione di Bumblebee in questa campagna prevedeva un ID campagna pari a “dcc3” e una chiave RC4 denominata “NEW_BLACK”.
Caratteristiche degne di nota della campagna
L’aspetto interessante di questa campagna è l’uso di documenti con macro VBA abilitate, che si vedono sempre meno da quando Microsoft ha iniziato a bloccare le macro per impostazione predefinita.
Delle circa 230 campagne Bumblebee individuate da Proofpoint a partire dal marzo 2022, solo cinque hanno utilizzato contenuti contenenti macro, mentre quattro hanno impiegato XL4 macro e una sola ha utilizzato macro VBA.
Nel complesso, la catena di attacco di questa campagna risulta notevolmente diversa rispetto alle precedenti campagne Bumblebee, anche rispetto a quelle che utilizzavano la configurazione “NEW_BLACK”.
Attribuzione
Proofpoint non è ancora riuscita ad attribuire questa recente attività del malware Bumblebee a un autore specifico. I ricercatori hanno notato che il tema dell’esca utilizzato nei messaggi vocali, l’uso di URL di OneDrive e l’indirizzo e-mail del mittente erano in linea con le attività precedenti associate all’indirizzo TA579. Tuttavia, Proofpoint non è stata in grado di giungere a tale conclusione in modo definitivo. Proofpoint sottolinea che il malware Bumblebee può essere utilizzato per veicolare diversi payload successivi, come il ransomware, rendendo più difficile attribuirne la responsabilità a un unico autore.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
È la prima volta che riportiamo notizie relative al malware " " Bumblebee da quando è emerso lo scorso anno. Quando un malware torna in attività dopo un periodo di inattività, presenta in genere funzionalità e TTP nuove e migliorate. Ma questa volta, Bumblebee è tornato ricorrendo a una tecnica che molti autori di minacce stanno abbandonando.
Lo scopo alla base dell’utilizzo di questa tecnica non è chiaro, ma indica comunque che potremmo iniziare a osservare una maggiore attività di Bumblebee.
2. PikaBot torna con un codice ottimizzato
I ricercatori hanno rilevato la presenza del malware PikaBot in nuove campagne, con modifiche significative al codice e alla struttura del malware stesso.
Gli sviluppatori di PikaBot hanno ridotto la complessità del codice, il che ha comportato l’eliminazione di tecniche avanzate di offuscamento e modifiche alle comunicazioni di rete.
Che cos’è PikaBot?
- Il malware PikaBot è comparso per la prima volta all’inizio del 2023. È costituito da due componenti principali: un caricatore e un modulo centrale.
- Il modulo principale esegue i comandi e inserisce i payload ricevuti da un server C2 . Il malware utilizza metodi e comportamenti di distribuzione simili a quelli del malware QBot.
- Dopo che l’FBI ha smantellato l’operazione legata al malware QBot, si è registrato un picco nell’attività di PikaBot — molto probabilmente perché un affiliato del ransomware BlackBasta ha iniziato a sostituire QBot con PikaBot. PikaBot sembrava quindi aver cessato la propria attività al termine dell’ dicembre 2023e.
- Sono state rilevate recenti campagne che indicano il ritorno di PikaBot nel panorama delle minacce. L'ultima variante presenta modifiche significative che riducono la complessità del codice. Zscaler ritiene che questa versione si trovi attualmente in un nuovo ciclo di sviluppo e in fase di test.
Tecnica anti-analisi
La modifica più significativa apportata alle tecniche anti-analisi di PikaBot riguarda l’offuscamento delle stringhe. Nelle versioni precedenti di PikaBot, ogni stringa veniva offuscata combinando l'algoritmo RC4 con AES-CBC, un metodo che si è rivelato molto efficace. Nella versione più recente, la maggior parte delle stringhe viene costruita prelevando un carattere e inserendolo nello stack. Come le varianti precedenti, anche questa variante inserisce codice inutile tra le istruzioni legittime.
Oltre a queste tecniche, PikaBot utilizza due metodi per eseguire il “ Detect ” di una sessione di debug. Leggerà il flag “BeingDebugged” dal blocco dell’ambiente del processo e chiamerà inoltre la funzione API “CheckRemoteDebuggerPresent” di Windows .
Continuerà a effettuare tali controlli in varie parti del proprio codice. Analogamente, il malware ricorrerà a diversi metodi per assicurarsi di non essere eseguito in un ambiente sandbox. Infine, il malware interromperà la propria esecuzione qualora rilevi la presenza della lingua russa o ucraina.
Fase di inizializzazione del bot
L'ultima versione di PikaBot memorizza tutte le impostazioni e le informazioni in un'unica struttura. Tale configurazione è memorizzata in testo in chiaro e in un unico indirizzo ed è molto più semplice rispetto alle versioni precedenti, che richiedevano la decrittografia di ciascun elemento in fase di esecuzione.
Quando PikaBot analizza le informazioni in chiaro, le cancella, impostando tutti i byte a zero. Il malware carica quindi le restanti funzioni API di Windows necessarie e genera un identificativo del bot per l'host.
Comunicazioni di rete
L'ultima fase del malware prevede la connessione al server C2 per ottenere vari comandi di rete. Il protocollo di rete relativo a questa funzionalità è cambiato in modo significativo in questa ultima versione di PikaBot. Il malware inizierà registrando l’host compromesso sul proprio server e raccogliendo informazioni relative all’host stesso, quali le impostazioni di visualizzazione del monitor, le impostazioni relative ai beacon e ai ritardi, nonché il nome del controller di dominio.
Aggiungerà quindi al pacchetto di registrazione la chiave di rete RC4 da 32 byte, una chiave di registro dal nome sconosciuto e il numero di cicli di scambio utilizzati per codificare i dati. Crittografa i dati raccolti e li invia tramite una richiesta POST al server C2 .
Se la registrazione del bot va a buon fine, PikaBot avvierà un ciclo infinito per richiedere ed eseguire comandi di rete. Un elenco completo dei comandi di rete supportati è riportato in dettaglio all’indirizzo nel rapporto di Zscaler intitolato “”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'ultima versione del malware PikaBot adotta un approccio molto diverso, riducendo la complessità del codice. Si tratta di un fenomeno insolito, poiché le nuove varianti di malware sono solitamente più avanzate e complesse.
PikaBot rappresenta tuttora una minaccia significativa ed è già stato utilizzato in passato da parte di autori di minacce noti per la distribuzione del malware QBot.
3. Gli autori delle minacce diffondono spam tramite i social network AWS
Gli autori delle minacce stanno attualmente utilizzando , AWS e il Simple Notification Service (SNS), insieme a uno script di spam personalizzato denominato “SNS Sender”, nell’ambito di una campagna di smishing ancora in corso. L'autore dello script dannoso è stato collegato a e a numerosi kit di phishing presenti sul mercato.
Panoramica della campagna
SNS Sender è uno script Python personalizzato che utilizza il servizio SNS di AWS per inviare messaggi SMS in massa contenenti link di phishing e. SentinelOne sottolinea che SNS Sender è il primo script che sfrutta il servizio SNS di AWS negli attacchi di spam. I messaggi spesso si spacciano per l'USPS. Inoltre, i ricercatori hanno individuato collegamenti tra l’autore di questo strumento e diversi altri kit di phishing, ma ritengono che tale strumento possa trovarsi ancora in fase di sperimentazione.
Informazioni sulla sceneggiatura
Per poter essere eseguito, lo script SNS Sender necessita di un elenco di link di phishing, denominato links[.]txt, presente nella propria directory di lavoro. Accetta diversi argomenti in ingresso, tra cui un file di testo contenente le chiavi di accesso, i segreti e le regioni dell’ AWS , un file di testo con i numeri di telefono da contattare, un ID mittente e il contenuto del messaggio stesso.
Lo script dispone di una funzione denominata “send_sns_message” che configurerà un’interfaccia tra lo script e il backend SNS di AWS per l’invio dei messaggi SMS. Secondo SentinelOne, l’inclusione di una variabile relativa all’ID del mittente rappresenta una scelta interessante, poiché tale variabile è facoltativa e non è supportata in tutti i paesi. Ad esempio, negli Stati Uniti gli operatori non supportano gli ID del mittente, mentre in India sono obbligatori. Ciò è interessante, considerando che i messaggi di questa campagna hanno spesso come tema l’USPS, il che è in contrasto con l’inserimento di un ID mittente. Ciò potrebbe indicare che l’autore dell’attacco responsabile di tale attività si trovi in un Paese in cui l’indicazione dell’ID del mittente è obbligatoria.
Lo script creerà un ciclo "while" per scorrere l'elenco delle credenziali e delle regioni di AWS precedentemente inserite. Sostituirà tutte le occorrenze della stringa “linkas” con un URL tratto dal file links[.]txt precedentemente inserito. Il link viene selezionato in modo casuale e trasformerà il messaggio in un vero e proprio SMS di phishing.
Kit di phishing
L'autore dello script utilizza lo pseudonimo di ARDUINO_DAS. I ricercatori hanno individuato oltre 150 file relativi a kit di phishing che fanno riferimento a questo attore, più della metà dei quali hanno come tema l’USPS.
I ricercatori hanno analizzato in dettaglio le campagne in corso su gennaio 2024 che facevano uso di tecniche di phishing ispirate all’USPS e hanno individuato un flusso operativo di base. Le pagine di destinazione informavano la vittima che il suo pacco non era stato consegnato e le chiedevano di cliccare su un pulsante per ricevere assistenza. Questo pulsante reindirizza la vittima a una pagina di tracciamento che finge di fornire i dettagli relativi al pacco, ma richiede inoltre alla vittima di inserire dati personali quali il proprio nome, numero di telefono e indirizzo e-mail.
Successivamente, la vittima viene reindirizzata a un’altra pagina in cui le viene richiesto di inserire un numero di carta di credito per pagare le spese di riconsegna. Il numero della carta di credito viene inoltrato a un sistema di verifica delle carte che, secondo quanto si ritiene, sia gestito tramite un servizio Telegram.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come spiega SentinelOne, gli autori delle minacce non utilizzano solitamente i social network basati sul cloud ( AWS , SNS), sebbene facciano sempre più ricorso al cloud nei propri attacchi.
SNS Sender rappresenta un nuovo approccio che richiede all’attore di accedere a un tenant SNS di AWS correttamente configurato. Inoltre, l’inserimento di un ID mittente in una campagna a tema USPS è discutibile e fa supporre che tale strumento sia ancora in fase di sviluppo.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
