Questa settimana, CTI esamina un nuovo kit di phishing di tipo “adversary-in-the-middle” (AiTM) associato alla piattaforma “phishing-as-a-service” (PhaaS) Tycoon 2FA . Successivamente, CTI analizza una recente e-mail di phishing denominata “ ” ( ) che ha diffuso il malware Agent Tesla. Infine, CTI analizza una nuova variante della botnet malware TheMoon che ha infettato migliaia di router e dispositivi IoT in 88 paesi.
1. I ricercatori hanno scoperto una nuova versione del kit di phishing Tycoon 2FA AiTM
I ricercatori hanno individuato un nuovo attacco di tipo “ ” all’interno del kit di phishing “middle- ” (AiTM), associato alla piattaforma “phishing-as-a-service” (PhaaS) denominata Tycoon 2FA .
Negli ultimi mesi, Tycoon 2FA si è affermato come uno dei kit di phishing AiTM più diffusi. L'ultima versione di Tycoon 2FA , individuata in febbraio 2024, presenta capacità di offuscamento e anti-analisi potenziate, oltre a nuovi modelli di traffico.
Come funziona Tycoon 2FA
L'ultima versione del kit di phishing Tycoon 2FA si avvale della tecnica AiTM. Il server dell’autore dell’attacco ospita il sito di phishing, intercetta i dati inseriti dalle vittime e li inoltra al servizio legittimo, il quale genererà la richiesta di autenticazione a più fattori (MFA) .
Quando l'utente completa la procedura di autenticazione MFA richiesta ed effettua l'autenticazione, il server intermedio acquisirà i cookie di sessione. Questi cookie consentono all'autore dell'attacco di riprodurre una sessione, aggirando così l'autenticazione a più fattori (MFA).
- Fase 0: L’attacco ha inizio con la diffusione di pagine di phishing, spesso tramite reindirizzamenti da URL e codici QR. Il kit di phishing Tycoon 2FA fornisce ai propri utenti modelli di pagine di phishing insieme a documenti di copertura da utilizzare nelle e-mail stesse.
- Fase 1: Dopo che l’utente ha cliccato sul link di phishing URL, viene reindirizzato a una pagina che incorpora una verifica Cloudflare Turnstile per impedire l’accesso da parte di bot e analisti. Per completare la verifica di sicurezza è necessario l'intervento umano.
- Fase 2: Il codice JavaScript viene eseguito in background prima di reindirizzare l'utente a un'altra pagina. Il codice HTML di questa nuova pagina contiene un codice JavaScript che estrarrà l'indirizzo e-mail dall' URL, qualora ne fosse presente uno, al fine di personalizzare l'attacco.
- Fase 3: Anche questa fase non è visibile all’utente e lo reindirizza a un’altra pagina del dominio di phishing.
- Fase 4: Questa fase presenta una pagina di autenticazione fasulla Microsoft e procederà all’identificazione del browser web dell’utente, avvierà un WebSocket con il server C2 , implementerà le comunicazioni via socket, acquisirà ed esfiltrerà gli input dell’utente e recupererà il reindirizzamento finale URL.
- Fase 5: La fase 5 genera e visualizza la pagina Microsoft 2FA alla vittima e intercetta il token per aggirare le misure di sicurezza.
- Fase 6: La vittima viene infine reindirizzata a una pagina dall’aspetto legittimo.
Le novità più rilevanti di questo attacco sono le modifiche apportate ai codici JavaScript e HTML utilizzati per il phishing. Le pagine di questa versione hanno subito lievi modifiche e ora recuperano le risorse necessarie in un ordine diverso, filtrando nel contempo il traffico indesiderato proveniente dai bot e dagli analisti di sicurezza.
Sekoia osserva che, sebbene tra la versione precedente e quella attuale fossero presenti funzionalità di deobfuscazione simili, la struttura complessiva è cambiata. La differenza principale risiede nei miglioramenti apportati alle varie tattiche di occultamento, in base alle quali le risorse dannose non vengono fornite finché la vittima non risolve la sfida di CloudFlare Turnstile.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Le modifiche apportate all’ultima versione di Tycoon 2FA riguardano principalmente il miglioramento delle tecniche di occultamento e di evasione. Tale iniziativa suggerisce che l’autore dell’attacco all’origine del kit di phishing stia cercando di ampliare le funzionalità del kit, probabilmente per accrescerne la popolarità.
Sekoia riferisce che la portata delle operazioni è notevole, con prove che indicano che diversi criminali informatici stanno attualmente sfruttando Tycoon 2FA.
2. Un attacco di phishing maschera un keylogger da avviso di pagamento bancario
A marzo, alcuni ricercatori hanno scoperto un’e-mail di phishing che diffondeva il malware Agent Tesla di .
Le e-mail stesse contengono un file eseguibile denominato “ Windows” che si presenta come una notifica fraudolenta di pagamento bancario proveniente da , esortando la vittima ad aprirlo. Il loader è in grado di aggirare i software antivirus e ottiene il proprio payload avvalendosi di proxy per occultare il proprio traffico.
La catena di contagio
Questo attacco ha inizio con un’e-mail di phishing che finge di essere una notifica inviata dalla banca della vittima. Il file di archivio allegato è un loader che impiega varie tecniche di anti-analisi e di elusione del rilevamento prima di rilasciare, in ultima analisi, l’infostealer Agent Tesla, eseguendolo interamente in memoria.
Il sistema di consegna/caricamento delle e-mail
L'e-mail di phishing si presenta come una falsa notifica di pagamento bancario, con un allegato che sembra una ricevuta di pagamento emessa da una banca.
L'archivio tar.gz allegato contiene un loader dannoso, compilato tramite .NET, che nasconde le proprie funzionalità ricorrendo all'offuscamento e al packing. Al momento dell'inizializzazione, procederà alla decrittografia dei dati di configurazione necessari al suo funzionamento. Trustwave ha individuato due diverse versioni del loader polimorfico.
Elusione degli antivirus/recupero del payload
Il programma di caricamento modificherà la funzione AmsiScanBuffer per aggirare l’interfaccia di scansione antimalware (AMSI) e eludere così la scansione dei contenuti presenti in memoria da parte dei programmi antimalware.
Successivamente, il codice punterà a un payload ospitato su un indirizzo specifico URL e, per farlo, richiederà una stringa user-agent specifica. Una delle varianti utilizza un server HTTP proxy presente in un elenco open source disponibile all’indirizzo GitHub per scaricare il payload.
Una volta che il payload è stato memorizzato in memoria, il caricatore utilizzerà le funzionalità di riflessione e di caricamento degli assembly di .NET per richiamare il punto di ingresso principale del payload e attivare il malware Agent Tesla.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Agent Tesla è un malware particolarmente noto, comunemente utilizzato da diversi autori di minacce e pertanto diffuso attraverso una moltitudine di modalità diverse.
Questa specifica modalità di diffusione del malware è degna di nota in quanto il suo loader impiega una serie di tecniche di offuscamento e anti-analisi e «mostra un comportamento polimorfico con routine di decrittografia distinte».
Trustwave ritiene che, per questo motivo, il loader potrebbe essere utilizzato in futuro per distribuire diversi tipi di malware.
3. Il malware TheMoon prende di mira i router ASUS
Una nuova variante del malware " " (TheMoon) e della botnet " " ha infettato migliaia di router e dispositivi IoT in 88 paesi.
Il malware è collegato al servizio “Faceless” proxy , che utilizza i dispositivi infetti come proxy e instrada il traffico per conto di autori di minacce che intendono mascherare le proprie attività. L'ultima campagna di TheMoon, che a marzo ha compromesso oltre 6.000 router ASUS in meno di 72 ore.
Che cos’è il malware TheMoon?
TheMoon ha fatto la sua prima comparsa nel 2014 e si è espanso fino a contare oltre 40.000 bot, molti dei quali vengono utilizzati nel famigerato servizio di " proxy " Faceless. I ricercatori ritengono che TheMoon stia aumentando il numero di utenti di Faceless di circa 7.000 nuovi utenti alla settimana.
Black Lotus Labs ha individuato una campagna avviata nella prima settimana del mese di marzo 2024 che aveva come obiettivo 6.000 router ASUS. Sulla base della loro analisi, sembra che l’autore dell’attacco abbia preso di mira dispositivi giunti a fine vita.
Analisi del malware
L'attacco è iniziato con un file di caricamento che verifica la presenza di determinate shell. Se non viene identificata alcuna shell, l'esecuzione del file verrà interrotta. Se viene identificata una delle shell, questa provvederà a decriptare, scaricare ed eseguire il payload della fase successiva. Il file binario configurerà diverse regole iptables prima di avviare un thread per contattare un server NTP, probabilmente al fine di verificare che il dispositivo disponga di una connessione a Internet e non si tratti di un ambiente sandbox.
Successivamente, scorrerà un elenco di indirizzi IP predefiniti, stabilirà una connessione sulla porta 15194 e invierà un pacchetto predefinito.
I ricercatori hanno individuato due moduli, tra cui un modulo worm e un file denominato .sox. Il modulo del worm tenta di diffondersi effettuando una scansione di un blocco di indirizzi IP alla ricerca di obiettivi vulnerabili. Una volta eseguito, il file .sox integrerà funzionalità volte a modificare iptables, consentendogli di aprire ulteriori porte e di scaricare altri moduli.
Sovrapposizione tra TheMoon e Faceless
Black Lotus Labs ha individuato una sovrapposizione tra i cluster di attività di TheMoon e Faceless. Analizzando un periodo di 10 giorni, hanno riscontrato che circa il 80% dei bot che interagivano con Faceless C2s interagivano anche con TheMoon C2.
Quando un bot comunica con un server Faceless, viene registrato nella rete Faceless proxy . I ricercatori hanno riscontrato che il 30% delle infezioni è durato per oltre 50 giorni, mentre solo il 15% dei dispositivi è rimasto connesso alla rete per meno di 48 ore.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I criminali informatici sono costantemente alla ricerca di modi per sferrare attacchi in modo furtivo e mantenere l'anonimato. Oltre a strumenti quali le VPN, gli autori delle minacce stanno ora ricorrendo anche ai server “ proxy ” per nascondere le proprie attività.
Black Lotus Labs ritiene che questo passaggio ai servizi “ proxy ” possa essere dovuto anche all’aumento degli interventi da parte delle forze dell’ordine, il che accresce la necessità per gli autori delle minacce di rendere anonimo il proprio traffico. È opportuno sottolineare che molti dei modelli di dispositivi interessati sono ormai fuori produzione, il che ribadisce ancora una volta i rischi associati alle tecnologie ormai fuori produzione.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
