Il primo articolo della rassegna di questa settimana è una panoramica su una nuova variante del malware XLoader per macOS che si presenta come un’applicazione per la produttività in ufficio. Successivamente, CTI analizza l’ultima campagna del Gruppo Lazarus e la scoperta di una nuova minaccia denominata CollectionRAT. Infine, CTI illustra in che modo gli autori delle minacce sfruttano le promozioni di Facebook che utilizzano modelli linguistici di grandi dimensioni (LLM) per diffondere codice dannoso.
La variante per macOS di XLoader si presenta come un’ App di produttività
Sentinel One ha individuato una variante del malware per macOS denominata “ ” XLoader (si apre in una nuova scheda) in circolazione. La campagna nasconde le proprie caratteristiche dannose spacciandosi per un’applicazione per l’ufficio e per la produttività App denominata OfficeNote (si apre in una nuova scheda) , incorporando al contempo la variante XLoader all’interno di un’immagine disco standard di Apple.
Che cos’è il malware XLoader?
Il malware XLoader è una versione rinominata del malware Formbook. Opera principalmente come programma di furto di informazioni sia per Windows che per macOS.
XLoader è apparso nei forum clandestini dedicati alla criminalità informatica all’inizio del 2020, poco dopo che Formbook era stato chiuso dal suo autore. La prima variante per macOS è stata individuata nella versione 2021 e si distingueva per il fatto di essere distribuita come programma “ Java ”. Il malware viene commercializzato nell’ambito di un contratto di tipo “malware-as-a-service” (MaaS), che garantisce agli abbonati l’accesso al pannello di amministrazione e alle versioni eseguibili.
La nuova variante di macOS XLoader è scritta in modo nativo nei linguaggi di programmazione C e Objective-C. È firmato con una firma da sviluppatore Apple e si presenta come un’ App a di produttività per l’ufficio denominata OfficeNote.
In che modo viene diffuso il malware XLoader?
L'ultima variante di XLoader è contenuta in un'immagine disco standard di Apple denominata OfficeNote.dmg. Questa variante reca la firma dello sviluppatore MAIT JAKHU ed è stata firmata il 17 luglio 2023. Da allora Apple ha revocato la firma. Tuttavia, i test condotti da SentinelOne indicano che lo strumento di blocco dei malware di Apple non dispone di una firma in grado di impedire l’esecuzione di questo malware.
Nel corso del mese di luglio sono comparsi su VirusTotal diversi campioni di questa variante, il che indica che probabilmente è in circolazione. I forum clandestini dedicati alla criminalità pubblicizzano questa nuova variante di macOS al prezzo di 199 dollari al mese o 299 dollari per tre mesi. Si tratta di un prezzo relativamente elevato rispetto alla variante XLoader di Windows , il cui costo è di 59 dollari al mese.
Dropper e persistenza
Quando viene eseguita questa variante, l’applicazione OfficeNote è programmata in modo da generare un messaggio di errore che informa l’utente che l’applicazione non può essere aperta. In secondo piano, il malware sta rilasciando il proprio payload e installando un agente di persistenza. Questo messaggio è codificato in modo fisso utilizzando una tecnica basata su stringhe nello stack già impiegata nelle precedenti varianti di XLoader.
Il payload viene inserito nella directory home dell’utente con il nome ~/73a470tO e viene eseguito. Crea una cartella nascosta e un'applicazione essenziale all'interno di tale cartella. Mentre il nome del payload è hardcoded nel dropper, il nome della directory nascosta, dell’applicazione e del file eseguibile viene generato in modo casuale ad ogni esecuzione. Viene inoltre inserito un LaunchAgent nella cartella “Libreria” dell’utente, in modo che il file binario possa distinguere tra la prima esecuzione e quelle successive.
Comportamento del carico utile
Il malware XLoader tenta di sottrarre informazioni riservate dagli appunti tramite le API Apple NSPasteboard e generalPasteboard. Può inoltre prendere di mira i browser Firefox e Chrome per leggere i file contenenti i dati di accesso. Per quanto possa sembrare strano per una variante di macOS, non sembra prendere di mira il browser Safari.
Il malware utilizzerà chiamate di rete fittizie per occultare il vero C2. SentinelOne ha rilevato 169 risoluzioni di nomi DNS e 203 richieste HTTP, individuando, in seguito a tale attività, una manciata di indirizzi IP sospetti. Cerca di eludere l'analisi in diversi modi. Il dropper e il payload cercheranno di impedire ai debugger di collegarsi tramite Ptrace. Il malware eseguirà inoltre comandi di sospensione per ritardare la propria attività.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’ultima variante di XLoader per macOS è chiaramente destinata agli utenti che operano in un ambiente di lavoro, come dimostra il fatto che si maschera da un’ App per la produttività in ufficio.» Il suo prezzo elevato sui forum clandestini dedicati alla criminalità informatica, rispetto alle varianti “ Windows ”, indica inoltre che i suoi sviluppatori ritengono che questa variante susciterà maggiore interesse e garantirà un maggiore ritorno sull’investimento. Come sottolinea SentinelOne, XLoader continua a rappresentare una minaccia per gli utenti e le aziende che utilizzano macOS.”
2. Il gruppo nordcoreano Lazarus utilizza un nuovo malware
Cisco Talos ha recentemente analizzato l’ultima campagna del gruppo Lazarus, denominata “ ” (si apre in una nuova scheda) , nell’ambito della quale il gruppo ha sfruttato una vulnerabilità di ManageEngine ServiceDesk per diffondere diverse minacce.
Le indagini condotte su questa campagna — insieme all’utilizzo di componenti infrastrutturali riutilizzati — li hanno portati alla scoperta di una nuova minaccia denominata CollectionRAT. Anche il Gruppo Lazarus sta modificando la propria strategia e ricorre sempre più spesso a strumenti open source nella fase di accesso iniziale.
Riutilizzo delle infrastrutture
L’attore malintenzionato sostenuto dallo Stato nordcoreano continua a utilizzare gran parte della stessa infrastruttura nelle campagne più recenti, nonostante molti di questi componenti siano stati documentati dai ricercatori nel corso degli anni.
Sebbene possa sembrare una mossa insolita, ciò mette in evidenza la fiducia del gruppo nelle proprie azioni. Questa ultima campagna ci ricorda quanto sia attivo questo gruppo.
Un arsenale in continua evoluzione
Il malware CollectionRAT, recentemente scoperto, presenta una serie di funzionalità tipiche dei RAT, quali la capacità di eseguire comandi arbitrari e di gestire i file presenti sul dispositivo.
L'impianto sfrutta un file binario Windows , basato su una libreria MFC ( Microsoft Foundation Class) compressa, per decriptare ed eseguire il malware. Il framework MFC viene qui utilizzato esclusivamente come wrapper e strumento di decrittografia per il codice dannoso vero e proprio.
Il malware raccoglierà informazioni sul sistema per identificare l'infezione e le invierà al server di comando e controllo (C2). Riceverà comandi dal server C2 per eseguire una serie di operazioni. È in grado di creare una reverse shell, leggere e scrivere file dal disco e avviare nuovi processi per scaricare e distribuire ulteriori payload. Può inoltre disinstallarsi dal dispositivo quando riceve l'istruzione di farlo dal C2.
CollectionRAT e il suo collegamento con EarlyRAT
Cisco Talos ha analizzato gli IOC associati a CollectionRAT e ha individuato un collegamento con EarlyRAT, un malware attribuito al sottogruppo Andariel di Lazarus.
CollectionRAT è stato firmato con lo stesso certificato utilizzato per firmare una versione precedente di EarlyRAT proveniente da 2021. Entrambi i malware utilizzavano lo stesso certificato, con lo stesso numero di serie e la stessa impronta digitale. EarlyRAT viene spesso diffuso sfruttando con successo la vulnerabilità Log4j .
L'utilizzo di strumenti open source durante l'accesso iniziale
Il gruppo Lazarus sembra stia modificando la propria strategia, ricorrendo sempre più spesso a strumenti e framework open source durante la fase di accesso iniziale dei propri attacchi, anziché utilizzarli esclusivamente nella fase successiva alla compromissione.
In precedenza, il gruppo faceva ricorso a implant personalizzati come MagicRAT per stabilire un accesso iniziale persistente su un sistema compromesso. Gli impianti personalizzati sono stati quindi utilizzati per implementare strumenti open source. Questa campagna costituisce un esempio in cui l’autore dell’attacco ha utilizzato il framework open source DeimosC2 per ottenere un accesso iniziale e persistente.
Si è inoltre osservato che il Gruppo Lazarus utilizza lo strumento di tunneling reverse shell PuTTY Link (Plink). In passato, l’autore dell’attacco utilizzava Plink per creare tunnel remoti. Tuttavia, l’autore dell’attacco ha ora iniziato a generare file binari Plink dannosi a partire dal codice sorgente dello strumento, al fine di incorporare stringhe di comando per il tunnel inverso all’interno del file binario stesso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Il fatto che il Lazarus Group stia utilizzando nuovi malware nei propri attacchi è un aspetto ormai quasi prevedibile, data l’attività e l’agilità di cui il gruppo dà prova.»
“Sulla stessa linea, l’autore dell’attacco sta modificando le proprie tattiche per sfruttare strumenti open source nella fase di accesso iniziale degli attacchi. Storicamente, il gruppo ha fatto ricorso agli strumenti open source esclusivamente nella fase successiva alla compromissione, segnando così una chiara evoluzione. «Il motivo di questo cambiamento non è chiaro, ma sembra in linea con la costante evoluzione degli autori delle minacce e con gran parte di ciò che stiamo osservando nel panorama delle minacce.»
3. Gli autori delle minacce sfruttano le promozioni di Facebook per diffondere codice dannoso
Una recente ricerca condotta da Trend Micro illustra come gli autori delle minacce sfruttino le promozioni di Facebook (si apre in una nuova scheda) che utilizzano modelli di linguaggio (LLM) per diffondere codice dannoso, con l’obiettivo di installare un componente aggiuntivo dannoso per il browser e sottrarre credenziali. L’autore dell’attacco utilizza i servizi di accorciamento dei link URL per il reindirizzamento dei link URL , i siti Google per l’hosting web e servizi di archiviazione cloud quali Google Drive e Dropbox per ospitare file dannosi.
Le promozioni su Facebook come vettore di diffusione
L'autore dell'attacco sfrutta le promozioni a pagamento di Facebook per ingannare le potenziali vittime con annunci pubblicitari che presentano profili falsi di società di marketing. Questi profili falsi presentano spesso follower acquistati o generati da bot, recensioni false pubblicate da altri profili compromessi e una cronologia online limitata. Le pubblicità promettono di incrementare la produttività, ampliare la portata e aumentare i ricavi, oppure di fornire supporto nell’insegnamento — il tutto grazie all’intelligenza artificiale. In alcuni casi, l’autore dell’attacco ha affermato di poter fornire l’accesso a Meta AI.
Non appena l’utente clicca sull’annuncio, viene reindirizzato a un sito web essenziale che illustra i vantaggi derivanti dall’utilizzo di LLM. Il sito include un link per scaricare il pacchetto di intelligenza artificiale. Per evitare di essere individuato dai programmi antivirus, l’autore dell’attacco distribuisce il pacchetto sotto forma di archivio crittografato con password semplici come 999 o 888.
Analisi del pacchetto
Una volta aperto e decriptato con la password corretta, l’archivio contiene un unico file di installazione denominato “ MSI ”. All'esecuzione del programma di installazione, il processo di installazione copierà i file relativi all'estensione Chrome . Successivamente, verrà eseguito uno script batch per chiudere il browser attualmente in esecuzione e riavviarlo con un'estensione dannosa che si spaccia per " Google Translate".
Analisi delle estensioni dannose
La logica principale dell'estensione dannosa è contenuta nello script del service worker dell'estensione. Una volta effettuata la deoffuscazione, Trend Micro è stata in grado di analizzarne le funzionalità di furto di dati.
Lo script tenta innanzitutto di sottrarre i cookie di Facebook, verificando la presenza di c_user. Successivamente, procederà a sottrarre il token di accesso e lo utilizzerà per richiedere ulteriori informazioni tramite GraphQL di Facebook. Grazie a questo token, lo script può interrogare l’API GraphQL di Facebook, elencando le pagine gestite dall’account e le relative informazioni. Il malintenzionato tenterà inoltre di ottenere l'indirizzo IP della vittima. Le informazioni sottratte vengono concatenate, codificate con il metodo “ URL ”, codificate con il metodo “ base64 ” ed esfiltrate verso un server “C2 ”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Questa campagna e l’autore della minaccia sembrano prendere di mira i responsabili dei social network aziendali, gli amministratori e gli specialisti di marketing, il che indica un attacco piuttosto mirato.»
«Meta ha rimosso le pagine e gli annunci fraudolenti dopo che Trend Micro ha segnalato il problema, ma spesso si tratta di una situazione simile al gioco del “colpisci il topo”, difficile da eliminare completamente.»
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
