Questa settimana, CTI analizza in dettaglio un nuovo rapporto che illustra le ultime attività attribuite al gruppo di minaccia ChamelGang, legato alla Cina, il quale sta prendendo di mira attivamente i dispositivi Linux . Successivamente, CTI analizza una variante di malware finalizzata al furto di informazioni nota come Skuld. Infine, CTI conclude con una panoramica su una vasta campagna di phishing denominata “ ” , recentemente scoperta dai ricercatori di Bolster.
1. Gli hacker cinesi utilizzano il protocollo “ DNS” su HTTPS per le comunicazioni relative al malware “ Linux ”
Un nuovo rapporto di Stairwell mette in luce le attività del gruppo di hacker legato alla Cina ChamelGang, che sta infettando i dispositivi Linux con un implant finora non documentato denominato ChamelDOH. La backdoor consente la comunicazione tra i sistemi compromessi e i dispositivi degli autori dell’attacco tramite il protocollo DNS-over-HTTPs.
Positive Technologies ha documentato per la prima volta le attività di ChamelGang, un gruppo di hacker che si definisce “ ” ( ), già nel settembre 2021. Tuttavia, tale rapporto si è concentrato esclusivamente sull’utilizzo, da parte del gruppo malintenzionato, di un toolkit denominato “ Windows ”. Il nuovo rapporto di Stairwell mette in evidenza l’ampliamento dell’arsenale di malware di ChamelGang, nonché gli aggiornamenti relativi alle tattiche, alle tecniche e alle procedure (TTP) del gruppo e agli indicatori di compromissione (IOC).
Dettagli tecnici
Il rapporto di Stairwell si concentra su ChamelDOH, un implant che facilita la comunicazione di comando e controllo (C2) tramite tunneling DoH ( DNS-over-HTTPS), nascondendo la propria attività all’interno del traffico di rete e rendendo estremamente difficile (se non impossibile, senza visibilità sul traffico HTTPS) l’identificazione e il blocco delle comunicazioni dell’implant.
- L'implant è un file binario di grandi dimensioni scritto in C++ che consente l'accesso remoto al sistema su cui è in esecuzione.
- L'impianto utilizza uno schema base64 modificato per codificare le proprie comunicazioni sotto forma di sottodomini per un server dei nomi controllato dall'autore dell'attacco. Ciò gli consente di raccogliere informazioni di sistema, individuare e analizzare un dispositivo infetto, nonché eseguire operazioni di accesso remoto di base, tra cui il caricamento, il download, la cancellazione e l’esecuzione di file.
- L'implant si avvale di una serie di chiamate di sistema per generare un oggetto ` JSON ` contenente vari dati ottenuti a seguito dell'attività di ricognizione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
“L’attribuzione dell’implant ChamelDoH alla ChamelGang, collegata alla Cina, è possibile grazie all’utilizzo, da parte del malware Linux , di un dominio precedentemente associato all’autore della minaccia, nonché di uno strumento personalizzato per l’escalation dei privilegi, già descritto nel rapporto di Positive Technologies citato all’inizio della presente sintesi.”
"Secondo Stairwell, è probabile che questo gruppo abbia dedicato notevoli risorse alla ricerca e allo sviluppo di una suite di strumenti per le intrusioni di tipo ‘ Linux ’ (in-the-wild) che sia altrettanto solida quanto l’arsenale del gruppo di minaccia incentrato sull’ Windows."
2. Il nuovo malware Skuld, basato su Golang, sottrae dati relativi a Discord e al browser dai PC degli utenti di Windows
Trellix ha recentemente descritto in dettaglio una nuova variante di malware finalizzata al furto di informazioni, nota come Skuld, che prende di mira applicazioni quali Discord, i browser web e le cartelle. Lo sviluppatore di Skuld sembra aver tratto ispirazione da vari progetti open source e da campioni di malware.
Cosa occorre sapere su Skuld
Trellix rileva che Skuld abbia compromesso i sistemi dell’ Windows in Europa, nel Sud-Est asiatico e negli Stati Uniti. Si riscontra inoltre una sovrapposizione con vari programmi di furto di dati disponibili pubblicamente, tra cui Creal Stealer, Luna Grabber e BlackCap Grabber.
Nel corso della propria indagine, Trellix ha inoltre individuato un gruppo su Telegram che utilizzava lo stesso pseudonimo di quello utilizzato dal presunto sviluppatore di Skuld. Ciò potrebbe indicare l'esistenza di piani futuri volti a promuovere l'offerta di Skuld come servizio destinato ad altri criminali informatici.
Punti chiave su Skuld
- Gli esempi di Skuld sono tutti scritti in Golang 1,20,3 e utilizzano un’ampia gamma di librerie per eseguire le diverse attività supportate.
- All’avvio, lo stealer carica alcuni parametri, percorsi ed espressioni regolari in una struttura interna di tipo “string map” che in seguito supporta diversi moduli. Dopo aver configurato un ambiente di esecuzione, il malware mostra alla vittima un falso messaggio di errore prima di eseguire vari moduli finalizzati al furto di informazioni.
- Prima di iniziare a sottrarre informazioni, Skuld verifica se è oggetto di analisi da parte di un prodotto di sicurezza o di un ricercatore, esaminando varie proprietà dell’ambiente. Se Skuld dovesse confermare di essere sotto osservazione, ne interromperà l’esecuzione.
- Skuld utilizza tre diverse tecniche per verificare se il sistema di destinazione sia o meno una macchina virtuale. La prima tecnica verifica se la risoluzione dello schermo del sistema è superiore a 200x200 pixel. In caso contrario, si presume che sia in esecuzione in un ambiente virtuale. La seconda tecnica verifica se il totale di " RAM " supera i 2.000.000.000 byte. La terza tecnica, invece, verifica diverse chiavi di registro associate alle informazioni relative alla scheda video e al disco presenti nel sistema. Se uno qualsiasi di essi contiene informazioni relative a VMware o VirtualBox, l'applicazione si chiude.
- I controlli finali di Skuld consistono nell’acquisire i processi in esecuzione sul sistema e nel confrontarli con una lista di blocchi predefinita. Se un processo corrisponde a una voce presente nell'elenco dei blocchi, il malware termina il processo.
- Dopo aver verificato di trovarsi in un ambiente reale e non in un ambiente virtualizzato, Skuld inizia a sottrarre informazioni alla vittima.
- Skuld dispone di vari metodi per sottrarre informazioni da Discord. In primo luogo, cerca di inserire codice JavaScript nel modulo discord_desktop_core. Per aggirare le funzionalità di sicurezza di Better Discord, il malware altererà il file "%APPDATA%\BetterDiscord\data\betterdiscord.asar", sostituendo la stringa "api/webhooks" con la stringa "ByDeathined". Dopo aver iniettato il proprio codice, Skuld cerca di sottrarre i codici di backup di Discord, che costituiscono un’alternativa ai codici MFA, e di assumere il controllo dell’account.
- Skuld prende quindi di mira le informazioni memorizzate dai browser basati su Chromium e Gecko. Le informazioni rubate dal browser includono dati locali, credenziali di accesso, cookie, cronologia, download e token di sessione. Una volta ottenute le informazioni, queste vengono archiviate e compresse in un file denominato “browsers.zip” e quindi esfiltrate.
Chi è responsabile di Skuld?
Lo sviluppatore di Skuld è conosciuto con lo pseudonimo di “Deathined”. Trellix ha individuato per la prima volta l' GitHub di un utente con lo stesso alias, il quale presentava un'immagine dell'avatar URL identica all'icon_url presente nel piè di pagina del webhook di Discord di Skuld.
L'account "Deathined" su GitHub afferma che il suo titolare sa programmare in Golang, il che corrisponde certamente al linguaggio utilizzato dal malware Skuld. Anche l’account GitHub è stato creato di recente, all’indirizzo aprile 2023 — appena poche settimane prima che avesse luogo l’indagine condotta da Trellix.
Proseguendo le indagini sull’ persona online del presunto sviluppatore, Trellix ha cercato altri account con lo stesso nome utente e ha individuato un account Reddit creato anch’esso ad aprile. Hanno inoltre scoperto un account Tumblr con lo stesso nickname. Infine, hanno individuato un account Carrd che contiene un link all’account Twitter già noto, @deathined.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Skuld è l’ennesimo malware che si aggiunge alla lista di quelli che sfruttano il linguaggio Golang. Trellix riassume efficacemente le crescenti preoccupazioni relative al malware sviluppato in Golang:
L'aumento del malware scritto in Golang rappresenta un grave motivo di preoccupazione nel panorama della sicurezza informatica, in continua evoluzione. Con la crescente popolarità di Golang, i criminali informatici hanno sfruttato i suoi punti di forza per sviluppare nuove varianti di malware che rappresentano una grave minaccia per gli utenti e le aziende.
3. Una massiccia campagna di phishing utilizza 6.000 siti per spacciarsi per 100 marchi
Un nuovo rapporto pubblicato dal team di ricerca sulle minacce di Bolster rivela la scoperta di una campagna di phishing su larga scala denominata “ ” — che, secondo quanto riferito, sarebbe in corso dal giugno 2022 — caratterizzata dall’usurpazione dell’identità di oltre 100 marchi famosi di abbigliamento, calzature e accessori, nell’ambito di attacchi volti a indurre le vittime a inserire le credenziali dei propri account e le informazioni finanziarie su siti web fraudolenti.
Dettagli della campagna
- Secondo l'articolo " " pubblicato su BleepingComputer, tra i marchi oggetto di contraffazione sui siti fasulli sopra citati figurano Nike, Puma, Asics, Vans, Adidas, Columbia e molti altri.
- La campagna di phishing è stata individuata dal team di ricerca sulle minacce di Bolster, i cui analisti riferiscono che l’operazione è iniziata intorno al giugno 2022 e ha registrato il picco di attività di phishing tra il novembre 2022 e il febbraio 2023.
- La campagna si avvale di almeno 3.000 domini unici e di circa 6.000 siti, compresi quelli inattivi.
Infrastruttura di phishing
Il rapporto di Bolster include una panoramica dell'infrastruttura utilizzata per gli attacchi di phishing della campagna. I domini associati a questa operazione sono stati ricondotti dai suoi scopritori al numero di sistema autonomo (ASN) AS48950.
Da Bolster:
Gli indirizzi IP di questi domini sono ospitati da due specifici fornitori di servizi Internet: Packet Exchange Limited e Global Colocation Limited. È opportuno sottolineare che entrambi i fornitori godono di una reputazione negativa per quanto riguarda il rischio di frode.
I ricercatori di Bolster sottolineano inoltre che una maggioranza significativa dei domini coinvolti (circa 1.500) è registrata presso il registrar ALIBABA.COM SINGAPORE E-COMMERCE PRIVATE LIMITED. Per quanto riguarda la durata di esistenza di questi domini, la loro età varia. Alcuni hanno circa due anni, mentre una parte significativa è stata registrata di recente, negli ultimi 90 giorni circa.
BleepingComputer ha espresso il seguente parere riguardo all’età dei domini sospetti:
L'anzianità di un dominio è un fattore cruciale nelle operazioni di phishing, poiché più a lungo un dominio rimane attivo pur restando inoffensivo, minore è la probabilità che venga segnalato come sospetto dagli strumenti di sicurezza. Lasciare che un dominio rimanga inattivo per almeno due anni è una pratica segnalata da Confiant lo scorso anno, in seguito all’osservazione di tale strategia nell’ambito di una campagna globale di malvertising che la utilizza con successo sin dal 2018. Nella campagna scoperta da Bolster, molti dei domini dannosi sono rimasti attivi così a lungo senza essere segnalati che Google Search li ha indicizzati e ora è probabile che compaiano tra i primi risultati per determinati termini di ricerca.
Questa strategia risulta particolarmente efficace per i criminali informatici intenzionati ad attirare vittime ignare verso siti di phishing, in quanto si basa sul presupposto che l’utente medio associ un posizionamento elevato nei risultati di ricerca di Google all’autenticità e all’affidabilità di quel dominio.
È importante sottolineare che i domini utilizzati per questa truffa seguono uno schema ricorrente: il nome del marchio oggetto dell’usurpazione viene abbinato al nome di una città o di un paese e seguito da un dominio di primo livello (TLD) generico, come ad esempio .com.
Secondo i ricercatori di Bolster, la campagna gestiva oltre 10 siti web fasulli progettati per imitare quelli di una serie di marchi famosi. Secondo quanto riferito, ciascun dominio fraudolento è stato progettato in modo molto simile al sito web autentico di ciascuna azienda.
Azioni consigliate
Bolster fornisce alcuni consigli per aiutarvi a evitare gli attacchi di phishing e i siti contraffatti che imitano marchi noti.
Da Bolster:
Si assicuri di trovarsi sul sito web ufficiale del marchio, verificando il dominio originale del marchio stesso. Prestino attenzione a eventuali segnali che indichino la presenza di nomi di dominio sospetti. Se vi imbattete in un'offerta o nel prezzo di un prodotto che sembra troppo vantaggioso per essere vero, dovreste adottare ulteriori misure per verificare la legittimità del dominio. È inoltre fondamentale che le aziende proteggano le proprie risorse digitali dagli attacchi di usurpazione del marchio, al fine di evitare di danneggiare la reputazione del proprio marchio. Se i clienti (o i dipendenti, i partner e altre figure della Sua rete) cadono vittime di una truffa perpetrata da chi si spaccia per la Sua organizzazione, ciò potrebbe dissuaderli dall’effettuare acquisti presso di Lei in futuro, oltre a generare recensioni negative, pubblicità negativa e passaparola negativo.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questa campagna serve a ricordare perché è importante mantenere un elevato livello di consapevolezza e cautela da parte degli utenti, specialmente quando si effettuano acquisti online o si navigano casualmente sui siti di e-commerce.»
"Le campagne di phishing stanno diventando sempre più convincenti. La situazione è destinata a peggiorare man mano che i criminali informatici avranno un accesso sempre più agevole a , all’intelligenza artificiale (IA) e , nonché ai modelli di apprendimento automatico. «Sta diventando altrettanto difficile tenere i lavoratori aggiornati sulle più recenti minacce veicolate tramite e-mail, sui metodi di ingegneria sociale e su altre TTP in continua evoluzione utilizzate dai criminali informatici».
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
