Sicurezza Informatica
Campagna di malvertising porta all’esecuzione della backdoor Oyster
Tempo di lettura: 2 minuti. Rapid7 scopre campagna malvertising che distribuisce backdoor Oyster, utilizzando installatori malevoli di software come Microsoft Teams.
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/image-197.jpg)
Rapid7 ha recentemente osservato una campagna di malvertising che induce gli utenti a scaricare installatori malevoli per software popolari come Google Chrome e Microsoft Teams che vengono utilizzati per distribuire una backdoor identificata come Oyster, nota anche come Broomstick. Una volta eseguita, questa backdoor esegue comandi di enumerazione e distribuisce ulteriori payload.
Accesso Iniziale
In tre incidenti separati, Rapid7 ha osservato utenti scaricare presunti installatori di Microsoft Teams da siti web con domini simili a quelli legittimi (typo-squatting). Gli utenti venivano indirizzati a questi siti tramite motori di ricerca come Google e Bing, credendo di scaricare software legittimo. Ad esempio, un utente ha navigato all’URL hxxps://micrsoft-teams-download[.]com/
, scaricando il file MSTeamsSetup_c_l_.exe
, firmato con un certificato Authenticode emesso a “Shanxi Yanghua HOME Furnishings Ltd”.
Analisi Tecnica
L’analisi del file MSTeamsSetup_c_l_.exe
ha rivelato che conteneva due binari nella sezione delle risorse, che venivano caricati nella cartella Temp durante l’esecuzione. I due binari erano CleanUp30.dll
e un legittimo installer di Microsoft Teams. CleanUp30.dll
viene eseguito tramite rundll32.exe
, creando una task pianificata ClearMngs
per eseguire CleanUp30.dll
ogni tre ore.
Funzionalità di Oyster/Broomstick
Oyster, noto anche come Broomstick o CleanUpLoader, è stato osservato per la prima volta nel settembre 2023. Il loader Oyster Installer
mascherava il dropper della backdoor Oyster Main
, responsabile della raccolta di informazioni sull’host compromesso, della comunicazione con i server C2 e dell’esecuzione remota del codice.
Decodifica dei C2
L’analisi del CleanUp30.dll
ha mostrato l’uso di una funzione di decodifica unica per recuperare gli indirizzi dei server C2, utilizzando una mappa di byte hardcoded per obfuscate i dati. Rapid7 ha creato uno script Python per decodificare queste stringhe, rivelando i domini C2 utilizzati per le comunicazioni malevoli.
Attività Successive
In uno degli incidenti osservati, un PowerShell script è stato eseguito per creare un file di collegamento .lnk
(DiskCleanUp.lnk
) nella cartella di avvio, garantendo l’esecuzione di CleanUp.dll
ad ogni accesso dell’utente. Inoltre, sono stati osservati comandi di enumerazione per raccogliere informazioni dettagliate sul sistema compromesso.
Rilevamento e prevenzione
Per proteggersi da questa campagna di malvertising, è importante verificare l’autenticità delle fonti di download e utilizzare soluzioni di sicurezza che rilevano comportamenti sospetti come l’uso di RunDLL32
per lanciare script o la creazione di task pianificate non autorizzate.
La campagna di malvertising che distribuisce la backdoor Oyster rappresenta una minaccia significativa per le organizzazioni, utilizzando tecniche di inganno e obfuscation avanzate. È essenziale per le organizzazioni rimanere vigili e adottare misure preventive per proteggere i propri sistemi da queste minacce.
Sicurezza Informatica
Kimsuky sfrutta TRANSLATEXT contro l’Accademia Sudcoreana
Tempo di lettura: 2 minuti. Kimsuky utilizza TRANSLATEXT per prendere di mira l’accademia sudcoreana, rubando dati sensibili tramite un’estensione Chrome malevola.
![](https://www.matricedigitale.it/wp-content/uploads/2023/05/Aldebaran_kimsuky_north_korea_real_flag_advanced_persistent_thr_3ce19cd4-c653-481f-9a06-8f1252dd984b.webp)
Il gruppo di hacker nordcoreano Kimsuky ha recentemente utilizzato una nuova estensione del browser Chrome chiamata TRANSLATEXT per prendere di mira il settore accademico sudcoreano. Secondo l’analisi condotta da Zscaler, questa campagna ha utilizzato metodi sofisticati per distribuire malware e raccogliere dati sensibili.
Dettagli tecnici dell’attacco
Kimsuky ha consegnato un file archivio denominato “한국군사학논집 심사평서 (1).zip”, che tradotto significa “Revisione di una Monografia sulla Storia Militare Coreana”. L’archivio conteneva due file esca: documenti HWP (un formato di file popolare in Corea del Sud) e un eseguibile Windows camuffato da documenti correlati. Quando l’utente lancia l’eseguibile, il malware recupera uno script PowerShell dal server del cyber-attore.
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/image-246-1024x471.png)
Questo script PowerShell carica informazioni generali sulla vittima e crea un collegamento Windows che recupera un ulteriore script PowerShell dallo stesso server. Durante le ricerche di Zscaler, è stato scoperto un altro script PowerShell e un account GitHub utilizzato dall’attore della minaccia per caricare i dati delle vittime e un’estensione Chrome precedentemente eliminata.
Fase | Descrizione |
---|---|
File iniziale | “한국군사학논집 심사평서 (1).zip” con documenti esca e un eseguibile Windows |
Script PowerShell | Recuperato dal server del cyber-attore, carica informazioni generali sulla vittima |
Estensione Chrome TRANSLATEXT | Registrata nel registro di Windows per forzare l’installazione senza il permesso dell’utente |
Analisi di TRANSLATEXT
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/image-247-1024x822.png)
TRANSLATEXT è stata caricata su GitHub con il nome “GoogleTranslate.crx” e mascherata da estensione di Google Translate. In realtà, conteneva quattro file Javascript malevoli progettati per aggirare le misure di sicurezza, rubare indirizzi email, credenziali, cookie, catturare schermate del browser e esfiltrare dati rubati.
File Javascript | Funzione |
---|---|
auth.js | Iniettato nelle pagine di login di Naver e Kakao per aggirare le misure di sicurezza |
gsuit.js | Iniettato nella pagina di login di Gmail per aggirare le misure di sicurezza |
content.js | Iniettato in tutte le pagine web per monitorare e rubare informazioni |
background.js | Gestisce la comunicazione con il server di comando e controllo (C2) |
La presenza di vari file Javascript suggerisce che TRANSLATEXT sia stata progettata per colpire una vasta gamma di piattaforme di login, raccogliendo dati sensibili e inviandoli al server C2 attraverso richieste HTTP POST.
Misure di Sicurezza e Collaborazione
Durante l’analisi, Zscaler ha notificato i team di sicurezza di Google e Naver riguardo a queste vulnerabilità di sicurezza, collaborando strettamente per mitigare il problema. L’obiettivo principale dell’attacco era raccogliere dati sensibili dagli accademici sudcoreani, con l’estensione TRANSLATEXT che fungeva da strumento principale per la raccolta di queste informazioni.
L’utilizzo di TRANSLATEXT da parte di Kimsuky per prendere di mira l’accademia sudcoreana dimostra il livello di sofisticazione raggiunto dagli attacchi di questo gruppo. La collaborazione tra Zscaler, Google e Naver è essenziale per contrastare queste minacce e proteggere i dati degli utenti. È cruciale per gli utenti essere consapevoli delle minacce e adottare misure di sicurezza appropriate per proteggere i propri dati personali e professionali.
Sicurezza Informatica
Cina, preoccupazioni su dati personali e sicurezza: aziende cinesi e il caso TEMU
Tempo di lettura: 2 minuti. Indagine sulle aziende cinesi per presunto sfruttamento dei dati personali e causa contro TEMU per malware
![](https://www.matricedigitale.it/wp-content/uploads/2024/05/aldebaran33_advanced_persistent_threath_from_china_cybersecurit_2fc5cc43-1813-47ea-863c-11fe0944c0a3.jpg)
La sicurezza dei dati personali è una questione di crescente preoccupazione, con indagini e accuse che coinvolgono aziende cinesi e , recentemente, l’amministrazione Biden ha avviato un’indagine sulle aziende di telecomunicazioni cinesi come China Mobile, China Unicom e China Telecom per presunto sfruttamento dei dati personali degli utenti statunitensi ma, contemporaneamente, il procuratore generale dell’Arkansas ha citato in giudizio TEMU, un popolare app di shopping online, accusandola di essere un malware pericoloso.
Indagine su China Mobile, China Unicom e China Telecom
Le aziende cinesi China Mobile, China Unicom e China Telecom sono sotto indagine da parte del Dipartimento del Commercio degli Stati Uniti. L’indagine riguarda il presunto sfruttamento dei dati personali degli utenti statunitensi raccolti attraverso i loro servizi cloud e internet. Secondo fonti anonime, queste aziende potrebbero consegnare le informazioni raccolte al governo cinese, un’accusa che ha portato alla convocazione delle aziende da parte del Dipartimento del Commercio.
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/image-246-1024x683.jpg)
Le aziende cinesi non hanno commentato ufficialmente queste accuse. Un portavoce dell’ambasciata cinese a Washington D.C. ha dichiarato che gli Stati Uniti dovrebbero smettere di sopprimere le aziende cinesi sotto falsi pretesti, aggiungendo che la Cina continuerà a difendere i diritti e gli interessi delle sue aziende. Reuters, dopo un’indagine indipendente, non ha trovato prove che le tre aziende abbiano fornito dati personali degli utenti statunitensi al governo cinese.
Azienda | Servizi Offerti in USA | Accusa |
---|---|---|
China Mobile | Servizi cloud e routing internet | Presunto sfruttamento dei dati degli utenti |
China Unicom | Servizi cloud e routing internet | Presunto sfruttamento dei dati degli utenti |
China Telecom | Servizi cloud e routing internet | Presunto sfruttamento dei dati degli utenti |
Causa Legale Contro TEMU
TEMU, una popolare app di shopping online cinese, è stata citata in giudizio dal procuratore generale dell’Arkansas, Tim Griffin, con l’accusa di essere un malware pericoloso che spia gli utenti. La causa sostiene che l’app TEMU accede segretamente a quasi tutti i dati sul cellulare di un utente, inclusi fotocamera, posizione specifica, contatti, messaggi di testo e documenti. Inoltre, la causa afferma che TEMU può ricompilarsi, modificare le proprietà e ignorare le impostazioni di privacy dei dati dell’utente, rendendo difficile rilevare il malware anche per utenti esperti.
TEMU ha negato tutte le accuse, definendole infondate e basate su disinformazioni diffuse online. Nonostante le accuse, TEMU è stata l’app di shopping più scaricata nel 2023, con oltre 337 milioni di download. Le teorie suggeriscono che i prezzi estremamente bassi offerti da TEMU siano il risultato della pressione sui produttori per abbassare ulteriormente i prezzi, spesso lasciando i produttori con pochi o nessun profitto.
Accusa | Dettaglio |
---|---|
Malware e Spionaggio | Accesso a fotocamera, posizione, contatti, messaggi di testo, documenti |
Modifica delle Proprietà | Capacità di ricompilarsi, modificare proprietà e ignorare le impostazioni di privacy |
Impatto sui Consumatori | Presunti rischi per la privacy e la sicurezza dei dati degli utenti |
Le preoccupazioni sulla sicurezza dei dati personali raccolti dalle aziende cinesi e il caso legale contro TEMU evidenziano la necessità di una vigilanza continua e di regolamentazioni rigorose per proteggere gli utenti. Le indagini e le azioni legali in corso mirano a garantire che le aziende rispettino le norme sulla privacy e la sicurezza dei dati, proteggendo gli utenti da potenziali abusi.
Sicurezza Informatica
TeamViewer bucato: è stato APT29
Tempo di lettura: < 1 minuto. TeamViewer comunica i dettagli sull’incidente di sicurezza del 26 giugno, attribuito ad APT29: Nessun accesso ai dati dei clienti.
![](https://www.matricedigitale.it/wp-content/uploads/2024/06/aldebaran33_apt29_or_cozy_bear_is_an_advanced_persistent_threat_0792681c-26e7-4963-8028-c4305365b4c3.jpg)
TeamViewer ha recentemente comunicato i dettagli di un incidente di sicurezza avvenuto il 26 giugno che sembrerebbe essere ad opera di APT29. Un team dedicato, composto da esperti di sicurezza di TeamViewer e specialisti globali di cyber sicurezza, ha lavorato 24 ore su 24 per investigare l’incidente utilizzando tutti i mezzi disponibili ed è in costante contatto con fornitori di intelligence sulle minacce e autorità competenti per aggiornare l’indagine.
Dettagli dell’incidente
L’indagine ha rivelato che l’attacco ha coinvolto le credenziali di un account standard di un dipendente all’interno dell’ambiente IT aziendale di TeamViewer. Grazie al monitoraggio continuo della sicurezza, il team ha identificato comportamenti sospetti relativi a questo account e ha immediatamente attivato le misure di risposta agli incidenti. In collaborazione con il supporto esterno per la risposta agli incidenti, TeamViewer attribuisce questa attività al noto attore di minacce APT29, anche conosciuto come Midnight Blizzard.
Contenimento e protezione dei Dati
Secondo le scoperte attuali dell’indagine, l’attacco è stato contenuto all’interno dell’ambiente IT aziendale e non ci sono prove che l’attore di minacce abbia avuto accesso all’ambiente di produzione o ai dati dei clienti. TeamViewer utilizza una forte segregazione tra l’IT aziendale, l’ambiente di produzione e la piattaforma di connettività TeamViewer. Questo significa che tutti i server, le reti e gli account sono mantenuti rigorosamente separati per prevenire accessi non autorizzati e movimenti laterali tra i diversi ambienti. Questa segregazione è una delle molteplici misure di protezione nel nostro approccio di ‘difesa in profondità’.
Impegno per la Trasparenza
La sicurezza è di fondamentale importanza per TeamViewer ed è profondamente radicata nella nostra cultura aziendale e continuerà ad aggiornare lo stato delle nostre indagini nel nostro Trust Center man mano che saranno disponibili nuove informazioni. Il prossimo aggiornamento è previsto entro la fine della giornata odierna, CEST.
- Smartphone1 settimana fa
Aggiornamenti di sicurezza Galaxy S21 FE e A55
- Smartphone1 settimana fa
Samsung Galaxy A24, A53 5G e S24 ricevono aggiornamenti importanti
- Smartphone1 settimana fa
Realme GT 6 vs POCO F6: quale scegliere?
- Smartphone1 settimana fa
Honor 200 Pro vs. Google Pixel 8 Pro: quale scegliere?
- Smartphone1 settimana fa
Galaxy A42 5G, S20 FE e A52s si aggiornano: One UI 6.1.1 arriva presto
- Smartphone1 settimana fa
Samsung Galaxy A53 5G, S23 FE e One UI 6.1.1: novità e aggiornamenti
- Smartphone6 giorni fa
Samsung dice addio a A51, A41 e M01: resiste l’S21 Ultra
- Smartphone1 settimana fa
Samsung Galaxy Z Fold 6, Z Flip 6 e S25 Ultra: novità e specifiche