Come un falso aggiornamento di Zoom ha trasformato strumenti legittimi di supporto remoto in backdoor

Recentemente ho trascorso un pomeriggio a esaminare un'immagine forense di una workstation appartenente a un assistente legale di un piccolo studio legale specializzato. L'utente era convinta di aver semplicemente aggiornato il suo client Zoom per partecipare a una deposizione mattutina. In realtà, il file che ha eseguito è stato il punto di partenza per SMOKE#SCREEN, una campagna a più ondate che rivolta strumenti IT autorizzati contro le reti stesse che dovrebbero supportare. L'utente non ha notato nulla fino a una settimana dopo, quando il suo computer ha iniziato a fungere da punto di partenza per il movimento laterale attraverso la vlan del server interno.

Questa è la realtà del moderno social engineering. Gli aggressori non hanno più bisogno di scrivere backdoor complesse e personalizzate quando possono semplicemente ingannare un utente inducendolo a installare uno strumento legittimo di monitoraggio e gestione remota (RMM). Per progettazione, questi strumenti hanno privilegi amministrativi, bypassano il whitelisting standard delle applicazioni in molti ambienti e forniscono una connessione stabile con il mondo esterno. Dietro le quinte, la campagna SMOKE#SCREEN dimostra un alto livello di maturità operativa, cambiando i suoi metodi di distribuzione e le tecniche di evasione per rimanere un passo avanti rispetto ai sistemi di rilevamento automatizzati.

L'anatomia della catena di infezione smoke#screen

I ricercatori di Securonix hanno recentemente identificato questa campagna, che utilizza esche che vanno dagli aggiornamenti di Adobe e Zoom alle revisioni di documenti aziendali. L'attacco inizia tipicamente con un'e-mail di spear-phishing contenente un dropper Visual Basic Script (VBScript) offuscato. Ho analizzato un campione simile il mese scorso e il livello di paranoia nel codice è impressionante. Prima di fare qualsiasi altra cosa, lo script esegue una serie di controlli ambientali per vedere se è in esecuzione in una sandbox o se è monitorato da un ricercatore di sicurezza.

Cerca specificamente processi come Wireshark, Process Monitor e vari servizi di macchine virtuali come VMware e VirtualBox. Se ne rileva uno, termina immediatamente. In termini proattivi, ciò impedisce allo script di rivelare il suo vero intento alle piattaforme di analisi automatizzata del malware. Una volta stabilito che la strada è libera, lo script decripta un comando PowerShell. Questo comando si connette a un server di staging all'indirizzo 207.189.11[.]170 per recuperare un payload C#.

Da una prospettiva di rischio, l'astuzia risiede in ciò che accade dopo. Il payload non installa un virus nel senso tradizionale. Installa invece un agente ConnectWise ScreenConnect. Questo è uno strumento legittimo utilizzato dai dipartimenti IT di tutto il mondo. Poiché l'agente è firmato e affidabile, spesso bypassa i controlli antivirus di base. Una volta installato, l'agente invia segnali a un server relay controllato dall'aggressore sulla porta 8041, offrendo all'operatore il pieno accesso desktop remoto alla macchina della vittima.

Perché gli aggressori scelgono strumenti di monitoraggio e gestione remota

L'uso di strumenti RMM come ScreenConnect è uno standard de facto per i moderni attori delle minacce. Risolve il problema della persistenza. Se un aggressore usa un trojan personalizzato, un singolo aggiornamento delle firme potrebbe interrompere il suo accesso. Se usa uno strumento RMM legittimo, si confonde con l'attività IT autorizzata. La maggior parte dei Security Operations Center (SOC) vede il traffico di ScreenConnect ogni giorno, quindi una singola connessione extra a un nuovo server relay potrebbe non far scattare un allarme.

In una variante della campagna SMOKE#SCREEN, gli aggressori utilizzano uno script batch per smantellare aggressivamente le difese locali prima dell'installazione. Lo script tenta di disabilitare l'Antimalware Scan Interface (AMSI) di Windows, modifica il registro per disattivare le protezioni SmartScreen e rimuove persino l'alternate data stream Zone.Identifier dall'installer scaricato. Quest'ultimo passaggio è significativo perché rimuove il "Mark of the Web", una funzione di sicurezza che indica a Windows che un file proviene da Internet. Rimuovendo questo marchio, l'aggressore impedisce la comparsa di determinati avvisi di sicurezza quando il file MSI viene eseguito.

Evadere il rilevamento con tunnel cloud e piattaforme affidabili

Uno degli aspetti più interessanti di questa campagna è il modo in cui nasconde la sua infrastruttura. Gli attori hanno ruotato la loro strategia di distribuzione su più servizi di hosting affidabili. Ad esempio, hanno utilizzato link condivisi di Dropbox per ospitare i loro payload iniziali. Poiché Dropbox è un dominio autorizzato in quasi tutti gli ambienti aziendali, il download raramente attiva un blocco del filtro web.

Più recentemente, gli aggressori hanno iniziato a utilizzare i Cloudflare Quick Tunnels. Questo servizio consente a un utente di esporre temporaneamente un server locale a Internet senza un IP statico o un dominio registrato. Il server di staging esegue un binario Cloudflare per generare tunnel effimeri con nomi come "subscription-magnetic-recommended-meat.trycloudflare.com". Poiché questi URL sono temporanei e associati a un fornitore affidabile, sono quasi impossibili da bloccare basandosi solo sulla reputazione. Di conseguenza, l'aggressore dispone di un percorso furtivo e di breve durata per distribuire i propri binari malevoli e mantenere il comando e controllo (C2) sulla flotta infetta.

Dalle esche aziendali ai cheat per il gaming

La campagna SMOKE#SCREEN non è l'unica minaccia che utilizza questa strategia. Una campagna separata, documentata recentemente da Bitdefender, prende di mira un target completamente diverso: i videogiocatori. Questa attività coinvolge falsi cheat per Xeno Roblox ed "executor" promossi su Discord e forum di gaming. Mentre il professionista legale di uno studio legale si preoccupa di un aggiornamento di Zoom, un adolescente cerca un vantaggio in un videogioco. Il risultato è lo stesso: un sistema compromesso.

L'esca qui è un falso installer di Xeno Executor. Quando l'utente esegue l'eseguibile, avvia un'infezione basata su Java a più stadi. Il payload finale è uno stealer chiamato Powercat. Questo malware è un coltellino svizzero per il furto di dati. Controlla la presenza di un Java Runtime Environment e, se manca, estrae il proprio. Legge quindi un file immagine locale chiamato "XenoIcon.jpg" per trovare le chiavi necessarie per comunicare con il suo server C2 all'indirizzo solthere[.]net.

Lo stealer Powercat e il furto di identità digitali

Powercat è più di un semplice raccoglitore di credenziali. È uno strumento di sorveglianza che fornisce agli aggressori un quadro completo della vita digitale della vittima. Prende di mira specificamente browser web come Chrome e Brave, portafogli di criptovalute come Atomic ed Exodus, e persino strumenti per sviluppatori come Git e Visual Studio.

Per gli utenti del portafoglio di criptovalute Exodus, il malware fa un passo avanti. Controlla se è installata la versione 26.1.5 e, in tal caso, decomprime i file interni dell'applicazione per iniettare JavaScript malevolo. Ciò consente all'aggressore di catturare direttamente i token di sessione. Il malware registra anche i tasti premuti, scatta screenshot, accede alla webcam e trasmette il desktop in tempo reale. Questo livello di accesso è una situazione di ostaggio digitale. L'aggressore non sta solo rubando una password; è seduto alla scrivania virtuale insieme all'utente.

Nei miei test sugli stealer basati su Java, ho visto quanto siano difficili da rilevare utilizzando la scansione standard basata sui file. Poiché la logica malevola si trova all'interno di un file JAR offuscato, e quel file JAR è spesso eseguito da un processo Java legittimo, l'attività appare al sistema operativo come una normale esecuzione di software. Questo è il motivo per cui le esche legate al gaming rimangono così efficaci. Sfruttano il desiderio dell'utente di funzionalità e la sua disponibilità a disabilitare il software di sicurezza per far funzionare un "trucco".

Suggerimenti pratici per la difesa

Valutare la superficie di attacco per queste campagne rivela che il firewall umano è il primo punto di fallimento. Tuttavia, i controlli tecnici devono fornire un supporto. Le organizzazioni e gli individui dovrebbero adottare una mentalità zero-trust in cui ogni aggiornamento software o utility viene trattato come sospetto fino a verifica contraria.

• Limitare l'esecuzione di MSI: gli utenti standard non dovrebbero essere in grado di eseguire installer MSI senza approvazione amministrativa. Utilizzare AppLocker o Windows Defender Application Control (WDAC) per imporre questa restrizione.
• Monitorare gli strumenti RMM: verificate nel vostro ambiente la presenza di tutti gli agenti RMM. Se il vostro dipartimento IT utilizza TeamViewer, qualsiasi istanza di ScreenConnect o AnyDesk rappresenta un avviso ad alta priorità.
• Controllare PowerShell e CMD: monitorare gli argomenti sospetti della riga di comando, specialmente quelli che coinvolgono "encodedcommand" o tentativi di bypassare l'AMSI e modificare il registro.
• Imporre un UAC rigoroso: assicurarsi che il Controllo dell'account utente sia impostato al livello più alto. Ciò impedisce al malware di elevare silenziosamente i privilegi senza che l'utente noti una richiesta.
• Bloccare i Cloudflare Tunnels: a meno che la vostra attività non li richieda specificamente, considerate di bloccare il dominio trycloudflare.com al perimetro della rete per impedire agli aggressori di utilizzare tunnel effimeri per il C2.

Lista di controllo per la mitigazione chiave

Affrontare queste minacce richiede di andare oltre una posizione reattiva. A parte il patching, la vera battaglia è su ciò che è autorizzato a girare sull'endpoint. Se si consente a qualsiasi binario firmato di eseguirsi e comunicare con Internet, si sta essenzialmente lasciando la porta aperta a qualsiasi attore che riesca a trovare uno strumento legittimo di cui abusare.

Fonti: Securonix SMOKE#SCREEN Report, Bitdefender Powercat Analysis, MITRE ATT&CK Framework, NIST Special Publication 800-207 (Zero Trust Architecture).

Dichiarazione di non responsabilità: questo articolo è solo a scopo informativo ed educativo e non sostituisce un audit di cybersecurity professionale o un servizio di risposta agli incidenti.