Una sofisticata campagna di cyberattacco, attribuita al gruppo Advanced Persistent Threat (APT) noto come Librarian Ghouls (anche Rare Werewolf e Rezet), ha preso di mira attivamente entità russe e della CSI. Il gruppo impiega software di terze parti legittimi per stabilire l'accesso remoto, rubare credenziali e distribuire miner di criptovalute XMRig, colpendo centinaia di imprese industriali e scuole di ingegneria.
Punti Chiave
-
Phishing Sofisticato: Librarian Ghouls impiega email di phishing altamente convincenti e personalizzate per i bersagli di lingua russa.
-
Abuso di Software Legittimo: Una caratteristica distintiva è l'ampio uso di strumenti legittimi di terze parti, rendendo difficile il rilevamento e l'attribuzione.
-
Operazioni Nascoste: Gli orari programmati di riattivazione e spegnimento sono progettati per nascondere le loro attività agli utenti.
-
Doppio Obiettivo: Il gruppo mira sia al furto di dati (credenziali, portafogli di criptovalute) che al guadagno finanziario tramite cryptojacking.
-
Minaccia Continua: La campagna rimane attiva, con un continuo perfezionamento delle tattiche e degli strumenti osservato dai ricercatori di cybersecurity.
Librarian Ghouls: Una Minaccia Persistente
Rare Werewolf è attivo almeno dal 2019, concentrandosi costantemente su organizzazioni in Russia e nella Comunità degli Stati Indipendenti (CSI). Le loro operazioni, che sono continuate fino a maggio 2025, mirano principalmente a imprese industriali e scuole di ingegneria, con alcune vittime segnalate anche in Bielorussia e Kazakistan. Le tattiche del gruppo suggeriscono una potenziale motivazione hacktivista, caratterizzata dalla loro dipendenza da software legittimi prontamente disponibili piuttosto che da malware sviluppati su misura.
Modus Operandi: Phishing e Strumenti Legittimi
Il vettore di infezione iniziale per Librarian Ghouls sono email di phishing altamente mirate. Queste email, spesso redatte in russo e contenenti nomi di file e documenti esca in lingua russa, sono camuffate da comunicazioni ufficiali o ordini di pagamento. Includono archivi protetti da password contenenti eseguibili dannosi. Una volta che una vittima apre questi file, viene avviata una complessa catena di infezione:
-
Payload Iniziale: Un programma di installazione, spesso creato con Smart Install Maker, distribuisce software legittimi come 4t Tray Minimizer per oscurare la loro presenza.
-
Accesso Remoto ed Esfiltrazione Dati: I payload intermedi recuperano strumenti aggiuntivi da server remoti, inclusi:
-
AnyDesk: Per il controllo remoto di macchine compromesse.
-
Blat: Un'utilità per l'invio di dati rubati tramite SMTP.
-
Defender Control: Per disabilitare Windows Defender.
-
WinRAR 3.80 Personalizzato: Per la compressione dei dati.
-
WebBrowserPassView: Per rubare le credenziali memorizzate nel browser.
-
Mipko Personal Monitor: Per il monitoraggio delle vittime, inclusi screenshot e sequenze di tasti.
-
ngrok: Per connessioni sicure ai servizi di rete.
-
NirCmd: Per l'esecuzione nascosta di script.
-
-
Operazioni Programmate: Gli attaccanti programmano i dispositivi infetti per riattivarsi all'1 AM e spegnersi alle 5 AM ora locale. Questa finestra di quattro ore consente loro di condurre le loro attività, come il furto di dati e il mining di criptovalute, minimizzando il sospetto dell'utente.
-
Furto di Dati: Il gruppo mira specificamente a:
-
Credenziali del portafoglio di criptovalute e frasi seed.
-
Dump delle chiavi di registro HKLM\SAM e HKLM\SYSTEM.
-
-
Mining di Criptovalute: Dopo l'esfiltrazione dei dati, viene installato il miner di criptovalute XMRig. Il miner è configurato in base alle informazioni di sistema della vittima (core CPU, RAM, GPU) per ottimizzare le operazioni di mining.
Le organizzazioni in Russia e nei paesi della CSI sono esortate a migliorare le proprie difese di cybersecurity, implementare robuste misure di sicurezza email ed educare i dipendenti sulle minacce di phishing per mitigare i rischi posti da questo gruppo APT in evoluzione.
Fonti
-
Rare Werewolf APT Uses Legitimate Software in Attacks on Hundreds of Russian Enterprises, The Hacker News.
-
Cryptojacking Group Hacks Hundreds Of Devices To Mine Crypto, Cointelegraph.
-
'Librarian Ghouls' APT Group Targets Organizations, GBHackers News.
-
Librarian Ghouls APT carries out attacks with data theft and crypto miner deployment, Securelist.
-
Hacker group Rare Werewolf hijacks Russian devices to mine crypto and steal data, Crypto News.
Questo articolo è stato creato con il supporto di una tecnologia basata sull'intelligenza artificiale, attingendo a molteplici fonti affidabili. Il contenuto finale è stato accuratamente revisionato e modificato dal team editoriale di BlockzHub per garantire accuratezza, chiarezza e coerenza. Le fonti originali delle informazioni vengono citate ove appropriato e necessario. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.