La piattaforma di distribuzione malware ROMULUS, precedentemente identificata, mostra nuove evoluzioni nelle tecniche di attacco ClickFix, impiegando un loader basato su Python per creare tunnel di rete e potenzialmente preparare il terreno per attacchi ransomware.
La piattaforma di distribuzione malware ROMULUS, emersa di recente grazie alle analisi di Vedere Labs (parte di Forescout Research), continua a dimostrare la sua natura dinamica e preoccupante. Le nuove informazioni rivelano un'ulteriore sofisticazione nelle tattiche impiegate, con un focus crescente sull'uso di tecniche di ingegneria sociale come il ClickFix per veicolare payload dannosi sempre più complessi, tra cui un tunneling implant basato su Python.
Il ClickFix, come già noto, sfrutta l'ingegneria sociale per indurre gli utenti a eseguire comandi dannosi, aggirando le difese tradizionali poiché l'azione parte dall'utente stesso. Le nuove fonti indicano che una campagna ClickFix specifica utilizza un loader denominato Lorem Ipsum Loader. Questo loader, una volta eseguito, ha il compito di installare un implant Python che crea un tunnel di rete all'interno della rete della vittima. Questa capacità di accesso remoto furtivo rende il sistema compromesso un potenziale punto di appoggio per ulteriori attività malevole, inclusa la distribuzione di ransomware, sebbene in un caso specifico analizzato, l'intrusione sia stata contenuta prima che la crittografia venisse avviata.
Le campagne associate a ROMULUS e ai suoi loader correlati impiegano catene di infezione multistadio per massimizzare le possibilità di successo e rendere più ardua l'analisi. In una variante denominata TerminalFix, agli utenti viene richiesto di aprire Windows Terminal o PowerShell e incollare un comando. Questo comando, invece di completare la presunta verifica, avvia una sequenza di infezione complessa. Questa sequenza spesso include un archivio ZIP contenente un eseguibile legittimo, una DLL malevola e un file batch. L'eseguibile carica la DLL tramite sideloading, permettendo al codice malevolo di essere eseguito nel contesto di un programma apparentemente fidato. Il file batch, a sua volta, stabilisce la persistenza del malware utilizzando chiavi di registro a livello utente e attività pianificate.
Il payload effettivo è spesso celato in modo ingegnoso. Nel caso del Lorem Ipsum Loader, è stato osservato un payload nascosto in una sezione aggiuntiva (.cpoc) di un file binario. I ricercatori hanno scoperto un dizionario di parole casuali di cinque lettere che il loader utilizza per ricostruire lo shellcode e decodificare il payload finale. Questo metodo di codifica basato su parole, insieme a tecniche di process injection e all'unhooking di librerie di sistema come ntdll, rende l'analisi e il rilevamento significativamente più difficili.
La flessibilità di ROMULUS e dei suoi componenti si estende anche alle modalità di distribuzione. Oltre alle tecniche basate su archivi e sideloading, sono state identificate vie di distribuzione alternative, come l'uso di un installer MSI di Microsoft Teams compromesso, seguito da script PowerShell che decodificano e decompongono uno stadio successivo del payload. La capacità di questo loader di essere distribuito attraverso molteplici catene di esecuzione, inclusi metodi basati su Node.js e PowerShell standalone, sottolinea la sua adattabilità e la difficoltà nel bloccare tutte le potenziali vie di attacco.
Dopo aver contattato un dead-drop resolver ospitato su forum pubblici, il loader recupera i domini di comando e controllo (C2) e registra l'host infetto. La comunicazione con il server C2 avviene tramite richieste HTTP con user-agent simili a quelli dei browser e traffico formattato come JPEG. Successivamente, viene scaricato client.py, un client di tunneling Python che stabilisce una connessione sicura (TLS, poi WebSocket) con il server C2. Tramite un protocollo personalizzato, questo implant può inoltrare traffico TCP arbitrario attraverso la macchina della vittima, trasformando l'endpoint compromesso in un punto di pivot per raggiungere sistemi altrimenti inaccessibili dall'esterno.
L'analisi di diversi campioni di Lorem Ipsum Loader ha rivelato significative somiglianze funzionali, infrastrutturali e di comunicazione C2 con AxolotlLoader, una famiglia di malware precedentemente tracciata separatamente. Sebbene le somiglianze siano notevoli, esistono differenze nel codice e nell'implementazione, come l'uso di tecniche XOR basate su immagini PNG in Axolotl rispetto alla codifica basata su parole osservata in Lorem Ipsum. I ricercatori non escludono che Lorem Ipsum possa rappresentare un'evoluzione di Axolotl, data la sovrapposizione temporale e funzionale.
Di fronte a queste minacce in evoluzione, le organizzazioni sono fortemente incoraggiate ad adottare misure preventive. È fondamentale formare gli utenti a non incollare comandi in Terminal o PowerShell in risposta a richieste web sospette. A livello di sicurezza informatica, si raccomanda di monitorare attivamente il sideloading di DLL sospette, l'esecuzione di PowerShell tramite MSI, l'attività di Node.js e PowerShell standalone, nonché la presenza di chiavi di registro Run e attività pianificate inattese. L'intelligence sulle minacce e la caccia ai processi e all'attività di rete correlata sono essenziali per identificare e mitigare queste campagne.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
