Un'indagine rivela che server legati a campagne malevole attribuite a Midnight Blizzard rimangono operativi, continuando a distribuire malware come ChocoShell e CornFlake. L'analisi evidenzia la persistenza delle operazioni e la necessità di andare oltre le semplici firme per il rilevamento.
Nonostante le segnalazioni pubbliche e la bassa reputazione di alcuni indicatori, infrastrutture associate a campagne malevole attribuite al gruppo di minaccia noto come Midnight Blizzard (tracciato da Microsoft anche come CaptiveCrunch e associato a Storm-2945) sembrano essere ancora attive. Un'analisi condotta da ReversingLabs (RL) ha rilevato che un server, precedentemente identificato come parte di questa operazione, continuava a distribuire file malevoli anche in data 5 ottobre 2026. Questo dato suggerisce che la semplice divulgazione pubblica o la presenza di punteggi di reputazione negativi non sono sufficienti a disattivare le infrastrutture utilizzate da questi attori.
L'indagine di RL è partita da due hash di malware pubblicati da Anthropic, che hanno permesso di collegare campioni a un server di staging all'indirizzo IP 213[.]145[.]86[.]112. I file in questione erano uno stager PowerShell identificato da Microsoft come ChocoShell e una backdoor scritta in Go denominata CornFlake. RL aveva già osservato questi campioni nelle proprie telemetrie settimane prima delle segnalazioni pubbliche, classificandoli come malevoli poco dopo la pubblicazione delle analisi di Microsoft.
Attraverso una ricerca comportamentale basata su percorsi di beaconing e etichette distintive, RL ha identificato cinque ulteriori versioni dello stager, tutte con hash differenti. Complessivamente, questi campioni condividevano un profilo di capacità di 35 elementi, che includevano l'esecuzione nascosta di script PowerShell, l'esecuzione di codice decodificato in Base64, la raccolta della cronologia del browser e la comunicazione (beaconing) verso lo stesso server di staging. L'analisi di RL ha ampliato ricerche precedenti sull'operatore GTG-20006, anch'esso collegato a Midnight Blizzard.
Le cinque build dello stager sono state osservate da RL tra il 9 luglio e il 3 agosto, indicando un pattern di ricostruzione ripetuta. Sebbene RL non possa confermare l'uso di intelligenza artificiale nella loro creazione, Anthropic aveva precedentemente riportato che l'operatore utilizzava strumenti come Claude per modificare e ridistribuire gli implant dopo che questi venivano rilevati dai prodotti di sicurezza.
L'indagine ha anche rivelato la presenza di due file Windows Internet Shortcut (.url) che puntavano a percorsi di download dello stager. Questi file di collegamento, privi di codice eseguibile diretto, non venivano inizialmente segnalati dai motori antivirus, ma la loro natura malevola risiedeva negli URL che aprivano. Il server di staging ospitava anche un file mascherato da bundle JavaScript, insieme a una libreria polyfill legittima utilizzata nella campagna.
Il 5 ottobre 2026, l'analisi degli URL ha confermato che il server rispondeva con successo (HTTP 200) a richieste per percorsi specifici, inclusi quelli relativi ai collegamenti shortcut e al falso bundle JavaScript, distribuendo ogni volta file classificati come malevoli. Anche diversi domini di phishing correlati rimanevano raggiungibili, sebbene uno, che imitava Outlook Web Access, restituisse un errore (HTTP 403).
È importante sottolineare che questi risultati rappresentano uno snapshot temporale e non garantiscono la continua operatività dell'infrastruttura. Tuttavia, la persistenza di queste operazioni è un chiaro segnale. Il malware utilizzato combina tecniche di furto di credenziali e mantenimento della persistenza. ChocoShell è noto per rubare dati dal browser e token di Microsoft 365, mentre CornFlake fornisce accesso remoto persistente e raccoglie informazioni dai sistemi compromessi. RL ha osservato indipendentemente la backdoor Go accedere a profili browser e dati di Microsoft Teams, identificando anche un potenziale server aggiuntivo come possibile pista di indagine.
Un aspetto critico evidenziato dall'analisi è la debolezza dei segnali di reputazione convenzionali: molti dei server esaminati presentavano poche rilevazioni da parte di terze parti. Questo rende cruciale l'analisi delle relazioni tra file, URL, domini e infrastrutture. Mentre gli hash dei file possono cambiare, comportamenti come i percorsi di beaconing e le routine di raccolta dati tendono a persistere.
Le segnalazioni più ampie di Microsoft relative a CaptiveCrunch descrivono manipolazioni del traffico che coinvolgono reti di ospitalità, captive portal e phishing, oltre alla distribuzione di malware e al furto di credenziali tramite tecniche di device-code phishing mirate agli account Microsoft 365. Un aggiornamento di Microsoft di fine settembre ha anche segnalato una nuova variante in Rust di CornFlake.
L'attività continua sottolinea l'importanza di investigare oltre gli hash pubblicati. È fondamentale ricercare comportamenti correlati, connessioni di rete sospette, analizzare l'accesso alle credenziali e trattare con estrema cautela le richieste di installazione di aggiornamenti o esecuzione di comandi su reti Wi-Fi pubbliche, specialmente in contesti come hotel o conferenze.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
