Sofisticati attacchi informatici hanno preso di mira le organizzazioni, in particolare nel settore IT russo, dalla seconda metà del 2024. Gli attaccanti stanno impiegando tecniche avanzate di evasione, sfruttando piattaforme online popolari come GitHub, Quora e i social media per consegnare il loro payload malevolo, distribuendo infine il Cobalt Strike Beacon.
Un'Infiltrazione Furtiva
La campagna, più attiva tra novembre 2024 e aprile 2025, è iniziata con e-mail di spear-phishing altamente convincenti. Queste e-mail imitavano comunicazioni di importanti aziende statali, spesso nel settore petrolifero e del gas, per indurre i destinatari ad aprire allegati malevoli. Questi allegati erano tipicamente archivi RAR contenenti una struttura ingannevole: un file .lnk malevolo, documenti PDF esca e una directory nascosta con eseguibili mascherati da PDF.
Esempio di e-mail di spear phishing
All'esecuzione del file .lnk, il malware copiava e rinominava questi file all'interno dell'ambiente dell'utente, preparando il terreno per ulteriori compromissioni. Una tecnica chiave impiegata è stata il dirottamento di DLL (DLL hijacking), sfruttando l'utility legittima di segnalazione crash BugSplat (BsSndRpt.exe). Gli attaccanti hanno rinominato questa utility e l'hanno abbinata a una DLL malevola, costringendo l'utility a caricare il codice dannoso invece della sua controparte autentica.
Schema di esecuzione del collegamento "Requirements.lnk"
Mappa del sito «Trebovania.lnk»
Schema di funzionamento del processo nau.exe
Sfruttare Piattaforme Legittime per Scopi Malevoli
Per eludere ulteriormente il rilevamento, la DLL malevola ha utilizzato la risoluzione dinamica delle API e hash crittografati con XOR, rendendo difficile l'analisi statica. Ha anche agganciato le funzioni API di Windows, reindirizzando le chiamate a funzioni personalizzate all'interno della libreria malevola. Queste funzioni hanno quindi recuperato shellcode da fonti basate sul web, incorporando specificamente informazioni di comando e controllo (C2) e URL di payload all'interno di contenuti HTML trovati nei profili utente su piattaforme come Microsoft Tech Community, Quora, GitHub e social network russi.
Profili dannosi su varie risorse popolari
Questo metodo di nascondere dati malevoli all'interno di contenuti legittimi generati dagli utenti ha permesso agli attaccanti di creare una catena di esecuzione complessa e resiliente. Lo shellcode, un loader riflessivo, è stato progettato per iniettare Cobalt Strike Beacon direttamente nella memoria di processo, stabilendo la comunicazione con i server C2. Sebbene gli account identificati fossero stati creati appositamente per l'attacco, le tecniche potrebbero essere facilmente adattate per compromettere post o commenti legittimi degli utenti.
Punti Chiave
-
Gli attori delle minacce stanno usando sempre più metodi sofisticati per nascondere strumenti ben noti come Cobalt Strike.
-
Piattaforme online legittime vengono abusate per ospitare infrastrutture di comando e controllo e consegnare payload malevoli.
-
Il dirottamento di DLL e la risoluzione dinamica delle API sono tecniche di evasione comuni.
-
Le e-mail di spear-phishing rimangono un vettore di accesso iniziale primario.
La campagna, sebbene mirasse principalmente alle aziende IT russe, ha registrato attività anche in Cina, Giappone, Malesia e Perù. Si consiglia alle organizzazioni di mantenere un monitoraggio vigile, migliorare la formazione sulla consapevolezza della cybersecurity per il personale e implementare soluzioni di sicurezza robuste per rilevare e bloccare tali minacce avanzate. Gli indicatori di compromissione includono la presenza di file BugSplatRc64.dll non firmati o l'utility BugSplat che appare con nomi di file non standard.
Fonti
-
Attacchi mirati sfruttano account su piattaforme online popolari come server C2, Securelist.
-
Gli hacker usano GitHub e i social media per consegnare Cobalt Strike Beacon, Cyber Press.
-
Gli hacker distribuiscono Cobalt Strike Beacon usando GitHub e i social media, GBHackers News.
Questo articolo è stato creato con il supporto di una tecnologia basata sull'intelligenza artificiale, attingendo a molteplici fonti affidabili. Il contenuto finale è stato accuratamente revisionato e modificato dal team editoriale di BlockzHub per garantire accuratezza, chiarezza e coerenza. Le fonti originali delle informazioni vengono citate ove appropriato e necessario. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.