Nella rassegna di questa settimana, CTI esamina il trojan modulare noto come Zloader, che è riapparso con una nuova versione dopo una pausa di quasi due anni. Successivamente, CTI indaga su una nuova entità denominata VexTrio, che ha stretto collaborazioni con decine di autori di minacce e sviluppatori di malware nell’ambito di un vasto programma di affiliazione criminale. Infine, CTI conclude con un’analisi del ransomware Kasseika e dei suoi potenziali legami con BlackMatter.
1. Zloader torna dopo una pausa
Il trojan modulare Zloader di (si apre in una nuova scheda) è riapparso con una nuova versione dopo una pausa durata quasi due anni.
La nuova variante include tecniche di offuscamento aggiornate, un algoritmo di generazione dei domini (DGA) aggiornato, la crittografia RSA per le comunicazioni di rete e il supporto per le versioni a 64 bit di Windows.
Che cos’è Zloader?
Il trojan Zloader deriva dal trojan bancario Zeus, scoperto nel 2007. Il malware si distingue per la sua capacità di evolversi di campagna in campagna e, sin dalla sua comparsa, ha ricevuto aggiornamenti costanti.
Nel caso “ aprile 2022”, Microsoft ha intrapreso un’azione contro il malware Zloader (si apre in una nuova scheda), collaborando con i fornitori di servizi di telecomunicazione per smantellare l’infrastruttura del malware. Da allora il malware è rimasto inattivo.
Anti-analisi
La variante Zloader sfrutta l’hashing delle importazioni API, il codice spazzatura, un controllo dei nomi dei file e l’offuscamento delle stringhe per contrastare l’analisi. Questa variante importa solo alcune funzioni dalla libreria kernel32 , mentre le restanti importazioni vengono risolte in fase di esecuzione tramite checksum. Sebbene tale tecnica fosse già presente nelle versioni precedenti di Zloader, la nuova variante ne ha aggiornato l’implementazione aggiungendo una costante XOR che varia a ogni campione.
Anche la nuova variante di Zloader è dotata di una funzionalità anti-sandbox. Quando il malware viene eseguito con un nome file specifico, procederà con la propria routine. Se il nome del file non corrisponde, l'esecuzione verrà interrotta per eludere i sandbox che rinominano i file.
Crittografia della configurazione statica
La configurazione statica di Zloader in questa variante è ancora crittografata allo stesso modo, ma presenta una struttura leggermente diversa. In questa variante, l’ID della botnet, il nome della campagna e il valore C2s sono impostati su offset fissi, mentre una chiave pubblica RSA sostituisce l’unica chiave RC4 precedentemente utilizzata per la crittografia.
I ricercatori hanno individuato 15 nuovi campioni di Zloader, tutti caratterizzati dalla stessa chiave pubblica RSA, il che potrebbe indicare che attualmente vi sia un unico autore della minaccia che utilizza tale malware.
Algoritmo di generazione dei domini
Qualora il server principale C2 del malware non fosse disponibile, esso ricorrerà a un DGA. L'algoritmo DGA è passato dalle vecchie varianti alla nuova variante e ora non presenta più un seme diverso per ogni botnet.
Questo codice genererà 32 domini al giorno utilizzando come valore iniziale l'ora di sistema locale a mezzanotte. Ciascuno dei domini generati è lungo 20 caratteri e utilizza il dominio di primo livello .com.
Comunicazioni di rete
Zloader ha apportato alcune lievi modifiche alle proprie comunicazioni di rete. Continua a utilizzare richieste HTTP POST per comunicare con il proprio C2 , ma ora si avvale di RSA 1.024-bit con RC4 e degli algoritmi di “crittografia visiva” di Zeus.
Più precisamente, il malware utilizza il formato personalizzato Zeus BinStorage, in cui i primi 128 byte costituiscono la chiave crittografata con RSA, mentre i byte rimanenti sono crittografati con la chiave numero Rc4 .
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Zloader era un malware molto diffuso prima di essere neutralizzato nel 2022. La ricomparsa del malware dopo un'operazione di smantellamento conferma che tali operazioni non rappresentano sempre un modo definitivo per eliminare una minaccia informatica e che, talvolta, possono addirittura incoraggiare la ricomparsa della minaccia in una forma ancora più sofisticata in futuro.
Le funzionalità aggiornate di Zloader sono paragonabili a quelle di molte altre minacce malware attualmente in circolazione, il che lo rende un elemento da tenere sotto controllo e monitorare.
2. VexTrio distribuisce malware per conto di oltre 60 affiliati
I ricercatori hanno scoperto una nuova entità denominata “ ” (VexTrio) , che ha stretto collaborazioni con decine di autori di minacce e sviluppatori di malware nell’ambito di un vasto programma di affiliazione a fini criminali.
Infoblox ritiene che la portata delle attività di VexTrio, un gruppo di " " (si apre in una nuova scheda) — unitamente al numero di collegamenti di cui dispone all’interno del settore della criminalità informatica — renda potenzialmente questo gruppo il più grande broker di traffico dannoso in assoluto.
Informazioni su VexTrio
VexTrio è attivo almeno dal 2017 e Infoblox lo monitora da circa due anni. Poiché VexTrio non è legato a un malware specifico ed è un broker di traffico, non sorprende più di tanto che sia rimasto inosservato per un certo periodo.
Infoblox sottolinea che VexTrio rappresenta la minaccia più diffusa nelle reti dei propri clienti, avendone rilevato la presenza in oltre la metà di tali reti negli ultimi due anni.
Lo scopo principale di VexTrio è quello di fungere da intermediario nel traffico per i criminali informatici, e i ricercatori ritengono che abbia stretto partnership con almeno 60 affiliati. VexTrio gestisce un sistema di distribuzione del traffico (TDS) che indirizza il traffico compromesso verso varie forme di contenuti dannosi. Sebbene molti affiliati stiano sfruttando VexTrio, Infoblox ha concluso che SocGholish e ClearFake indirizzino le vittime verso VexTrio.
I ricercatori hanno inoltre osservato che le catene di attacco di VexTrio possono coinvolgere più attori e ne hanno individuati ben quattro in un’unica sequenza di attacco.
Il ruolo dei server TDS nella rete di affiliazione di VexTrio
I server TDS svolgono un ruolo fondamentale nella rete di affiliazione di VexTrio, e VexTrio li configura e li gestisce in modo determinante per il proprio successo a lungo termine.
Un TDS analizzerà il profilo di una vittima per verificare se corrisponde ai criteri di selezione di VexTrio. In caso di corrispondenza, il TDS reindirizzerà la vittima verso contenuti illeciti. Ciò consente agli autori delle minacce di filtrare il traffico in modo che i visitatori dei contenuti dannosi siano solo quelli che corrispondono al loro profilo.
Una catena di attacco VexTrio può comprendere più server TDS che, collettivamente, controllano l’intero flusso del traffico web dall’inizio alla fine.
Il modello di business di VexTrio
Il programma di affiliazione VexTrio funziona in modo simile a quello delle reti di affiliazione di marketing legittime. Ogni attacco coinvolge in genere infrastrutture di proprietà di più soggetti, i quali inoltrano il traffico proveniente dalle proprie risorse ai server TDS controllati da VexTrio.
VexTrio inoltrerà quindi tale traffico verso siti dannosi gestiti da altri autori di minacce. Data la sua somiglianza comportamentale con il traffico pubblicitario innocuo, Infoblox ritiene che l’attività di VexTrio possa essere facilmente ignorata per errore.
Le società affiliate di VexTrio
Si ritiene che VexTrio conti numerosi partecipanti nel proprio ecosistema. VexTrio utilizza i parametri di query URL e, analizzando i modelli presenti all'indirizzo URL , i ricercatori sono riusciti a stabilire che determinati valori dei parametri, considerati nel loro insieme, identificano un singolo membro affiliato.
Infoblox ha fornito una panoramica su due affiliate di VexTrio:
- ClearFake: ClearFake è un framework JavaScript dannoso che presenta dinamicamente ai visitatori di un sito web contenuti dannosi tramite un iframe HTML. Quando la vittima fa clic su un pulsante falso relativo all'aggiornamento del browser, il suo dispositivo verrà infettato da un malware. Negli ultimi mesi, l’autore dell’attacco responsabile di ClearFake ha reindirizzato il traffico delle vittime verso un ristretto insieme di domini TDS di VexTrio con valori dei parametri costanti. ClearFake sfrutta un TDS commerciale denominato Keitaro e reindirizza il traffico verso il TDS VexTrio URL.
- su SocGholish: SocGholish è un famigerato malware basato su JavaScript, attivo sin dal 2017. I suoi gestori sono affiliati a VexTrio almeno dall’inizio del 2022. L'autore delle minacce SocGholish sfrutta il traffico web reindirizzando le vittime verso i server TDS di VexTrio.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
VexTrio costituisce l’ennesimo esempio di quanto l’ecosistema della criminalità informatica possa assumere caratteristiche prettamente commerciali. Il suo modello di business unico le ha consentito di stringere partnership con una moltitudine di autori di minacce, compresi quelli responsabili di alcuni malware ben noti.
VexTrio rende possibile che le catene di attacchi coinvolgano più attori malintenzionati, aumentando la potenziale gravità dell’attacco e rendendo l’attribuzione ancora più difficile di quanto non sia già.
L’indagine condotta da Infoblox su VexTrio è particolarmente impressionante, vista la complessità e l’intreccio di questa entità. La loro analisi è incredibilmente approfondita e merita di essere letta.
3. Il ransomware Kasseika lancia attacchi BYOVD
Trend Micro ha condotto un’analisi approfondita del ransomware Kasseika (si apre in una nuova scheda), individuando indicatori che suggeriscono che l’autore della minaccia potrebbe aver ottenuto il codice sorgente del famigerato ransomware BlackMatter.
Il ransomware Kasseika è una delle più recenti operazioni ad aver aderito alla tendenza degli attacchi di tipo “bring-your-own-vulnerable-driver” (BYOVD).
Catena di infezione e sovrapposizione con BlackMatter
Kasseika avvia il proprio attacco con un’e-mail di phishing altamente mirata, del tipo “ ”, contenente il link. Dopo aver raccolto le credenziali, utilizza strumenti di amministrazione remota per ottenere un accesso privilegiato e muoversi lateralmente.
Come altre operazioni di ransomware, Kasseika sfrutta PsExec per eseguire i propri file dannosi. Kasseika si sta ora unendo a numerose altre operazioni di ransomware, cercando di terminare i processi e i servizi antivirus per distribuire il ransomware. Negli ultimi attacchi Kasseika, l’operazione si avvale di uno script per verificare la presenza del processo denominato Martini.exe. Se viene individuato tale processo, il ransomware lo terminerà, assicurandosi che sul computer sia in esecuzione una sola istanza del processo.
Trend Micro ha rilevato diversi indicatori che presentano somiglianze con quelli del ransomware BlackMatter. Tra questi indicatori figurano le estensioni pseudo-ransom e l’utilizzo di un’estensione specifica come nome o formato del file contenente la richiesta di riscatto. Da un’analisi più approfondita è emerso che la maggior parte del codice sorgente utilizzato in questo attacco proveniva da BlackMatter.
Per fornire un contesto, si ritiene che BlackMatter sia una nuova versione del ransomware DarkSide, che a sua volta si ritiene abbia costituito la base su cui si fondava l’operazione del ransomware BlackCat.
Il meccanismo KILLAV e martini.exe
Martini.exe verificherà innanzitutto se il driver Martini è stato scaricato correttamente sul computer. Il driver firmato, Martini.sys, era originariamente denominato viragt64.sys e fa parte di VirIT Agent System. L'autore dell'attacco ha sfruttato alcune vulnerabilità per utilizzare questo driver al fine di disattivare vari strumenti di sicurezza. Se il file Martini.sys non è presente sul computer, il malware si chiuderà automaticamente.
Qualora sul computer venisse rilevato il file Martini.sys, il malware proseguirà la propria routine creando e avviando un servizio. Il driver verrà quindi caricato da Martini.exe tramite la funzione CreateFileW. Martini.exe eseguirà una scansione continua dei processi attivi nel sistema e, una volta rilevato un processo presente nell'elenco, invierà tale informazione al driver. Un elenco completo di almeno 991 processi è disponibile qui. (si apre in una nuova scheda)
Il ransomware cercherà applicazioni relative al monitoraggio dei processi, al monitoraggio del sistema e a vari strumenti di analisi. Successivamente individua i processi in esecuzione correlati a tali applicazioni e si chiude automaticamente qualora tali processi siano presenti. I file ottenuti vengono trasferiti da una risorsa di rete a una directory locale prima che venga avviato il file binario del ransomware, smartscreen_protected.exe.
Analisi del carico utile
Il ransomware Kasseika è un file PE a 32 bit di tipo " Windows " compresso con Themida, noto per essere più difficile da sottoporre a reverse engineering.
Prima di eseguire la crittografia, il ransomware terminerà tutti i processi e i servizi che stanno accedendo a Windows Restart Manager. Avvia quindi una nuova sessione e inizia a enumerare gli hash delle sessioni o i processi e i servizi a partire dalle chiavi presenti nello stesso elenco. Kasseika elimina le copie shadow, crittografa i file di destinazione e aggiunge un’estensione crittografata ai file. La nota di riscatto verrà inserita in diverse cartelle prima che il ransomware modifichi lo sfondo del sistema.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’aspetto più preoccupante riguardo a questo gruppo è che, a quanto pare, Kasseika stia utilizzando una quantità non trascurabile di codice sorgente di BlackMatter. Il ransomware Blackmatter è stato precedentemente collegato a BlackCat (si apre in una nuova scheda), che rappresenta una nota e di successo operazione di Ransomware-as-a-Service (RaaS) (si apre in una nuova scheda).
Non è chiaro se un ex membro di una di queste bande di autori di ransomware faccia ora parte di Kasseika, oppure se l’organizzazione sia semplicemente riuscita in qualche modo ad accedere al codice sorgente. Se la prima ipotesi fosse vera, potremmo potenzialmente vedere altre opere di Kasseika in futuro.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
