Il gruppo di spionaggio informatico Tortoiseshell, collegato all'Iran, ha introdotto nuove sofisticate tecniche malevole, tra cui una backdoor e un utility per il tunneling SSH inverso. Le nuove infrastrutture suggeriscono un ampliamento del raggio d'azione del gruppo verso Europa e Medio Oriente.
Recenti analisi condotte da Group-IB Threat Intelligence hanno rivelato che il gruppo di attori malevoli noto come Tortoiseshell (identificato anche da Kaspersky come Mirage Kitten) ha ampliato il proprio arsenale di strumenti con l'introduzione di una nuova backdoor e di un'utility per il tunneling SSH inverso. Queste scoperte, basate su ricerche precedenti di Kaspersky e Google Threat Intelligence Group (GTIG), suggeriscono un'evoluzione nelle capacità del gruppo, attivo almeno dal 2018 e focalizzato principalmente su organizzazioni nei settori della difesa, aerospaziale, dei servizi IT e militari, con un'attenzione particolare al Medio Oriente e agli Stati Uniti.
Uno degli elementi più significativi emersi dalle indagini è una utility di tunneling SSH inverso, mascherata da una libreria di sistema legittima di Windows, la wtsapi32.dll. Questo malware, pur esportando le funzioni originali della DLL, utilizza il client OpenSSH di Windows per stabilire connessioni verso infrastrutture controllate da Tortoiseshell. Il tunnel inverso così creato permette al server di comando e controllo (C2) di reindirizzare il traffico all'interno della rete compromessa, facilitando potenzialmente l'accesso e il movimento laterale.
Group-IB ha notato che questo comportamento è in linea con le tecniche precedentemente documentate da GTIG per il gruppo UNC1549, evidenziando una possibile condivisione di tattiche o un'evoluzione comune tra diversi attori malevoli.
Parallelamente, è stata identificata una seconda variante di malware, una backdoor scritta in C++. Questa nuova minaccia presenta somiglianze con il malware TWOSTROKE, già analizzato da GTIG. Anche in questo caso, il malware si spacciava per la DLL wtsapi32.dll, suggerendo un metodo di caricamento tramite DLL search-order hijacking, una tecnica che sfrutta le vulnerabilità nel modo in cui Windows carica le librerie.
La backdoor è progettata per comunicare con server C2 multipli, codificati al loro interno, utilizzando il protocollo HTTPS. Ogni vittima viene identificata tramite un identificativo univoco generato a partire dal nome host completo del sistema compromesso. Le funzionalità della backdoor includono l'esecuzione di comandi shell, l'esecuzione di DLL in memoria (evitando il salvataggio su disco), il trasferimento di file, la visualizzazione di elenchi di directory e la cancellazione di file, rendendola uno strumento versatile per le operazioni di spionaggio.
Oltre ai nuovi campioni di malware, Group-IB ha scoperto nuove infrastrutture di comando e controllo (C2) collegate a domini precedentemente associati a Tortoiseshell. Due domini specifici, locat[.]sbs e tiktok-u[.]sbs, risolvevano a server correlati. L'analisi dei sottodomini ha rivelato l'uso di identificatori geografici come UAE, Arabia Saudita, Regno Unito, Belgio, Canada, Australia e Giappone.
Questa scoperta suggerisce un potenziale ampliamento del raggio d'azione di Tortoiseshell, con un interesse crescente verso paesi in Europa e Medio Oriente, oltre ai bersagli storici. Tuttavia, Group-IB ha sottolineato che l'effettivo utilizzo di queste infrastrutture per attacchi mirati rimane da confermare, poiché non sono stati ancora identificati campioni di malware specificamente associati a questi nuovi domini.
È interessante notare che alcuni server sono rimasti operativi anche dopo la sospensione del dominio tiktok-u[.]sbs da parte del registrar. Dati storici DNS indicano che i sottodomini di questo dominio puntavano agli stessi server associati a locat[.]sbs, dimostrando la resilienza e l'adattabilità dell'infrastruttura del gruppo.
Di fronte a queste evoluzioni, Group-IB raccomanda alle organizzazioni di implementare strategie di threat hunting continue. Particolare attenzione dovrebbe essere posta al monitoraggio di attività sospette legate al caricamento laterale della DLL wtsapi32.dll e al traffico in uscita associato alle infrastrutture note di Tortoiseshell. L'adozione di misure di sicurezza proattive e la vigilanza costante sono fondamentali per contrastare le minacce in continua evoluzione poste da gruppi come Tortoiseshell.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
