MULTI#STORM: nuovo attacco phishing mira a India e Stati Uniti

Una recente campagna di phishing, identificata come MULTI#STORM, ha lanciato un attacco mirato all'India e agli Stati Uniti. Sfruttando file JavaScript, l'attacco mira a introdurre trojan per l'accesso remoto nei sistemi compromessi. Ricercatori di Securonix, tra cui Den Iuzvyk, Tim Peck, e Oleg Kolesnikov, hanno notato che l'attacco culmina con l'infezione della macchina vittima da parte di numerosi unici trojan per l'accesso remoto (RAT), come Warzone RAT e Quasar RAT. Entrambi vengono utilizzati per il comando e il controllo durante diverse fasi della catena di infezione.

Come funziona l'attacco: inizio e sviluppo della catena di infezione

L'attacco si innesca quando un destinatario di email clicca sul link incorporato che punta a un file ZIP protetto da password ("REQUEST.zip") ospitato su Microsoft OneDrive con la password "12345". All'interno del file compresso, vi è un file JavaScript altamente offuscato ("REQUEST.js") che, una volta aperto, avvia l'infezione eseguendo due comandi PowerShell incaricati di recuperare due distinte payload da OneDrive ed eseguirle. Il primo file è un documento PDF di diversivo, mostrato alla vittima, mentre il secondo file, un eseguibile basato su Python, viene avviato in background senza che l'utente se ne accorga.

Conseguenze dell'attacco: esecuzione e effetti del malware

L'eseguibile agisce come un "dropper", estraendo ed eseguendo il payload principale contenuto al suo interno sotto forma di stringhe codificate in Base64 ("Storm.exe"), ma non prima di stabilire la persistenza attraverso la modifica del Registro di Windows. Anche un secondo file ZIP ("files.zip") viene decodificato dal binario e contiene quattro file differenti, ognuno dei quali è progettato per eludere il Controllo Account Utente (UAC) ed aumentare i privilegi creando falsi directory fidati. Tra i file, vi è un file batch ("check.bat") che, secondo Securonix, presenta diverse analogie con un altro loader chiamato DBatLoader, nonostante la differenza nel linguaggio di programmazione utilizzato.

Precauzioni e misure preventive: suggerimenti dalla ricerca

Un secondo file chiamato "KDECO.bat" esegue un comando PowerShell per istruire Microsoft Defender ad aggiungere una regola di esclusione antivirus per ignorare la directory "C:\Users". L'attacco culmina con il dispiegamento di Warzone RAT (noto anche come Ave Maria), un malware disponibile per la vendita a $38 al mese e fornito di un'ampia gamma di funzionalità per raccogliere dati sensibili e scaricare malware aggiuntivi come Quasar RAT. I ricercatori hanno sottolineato l'importanza di mantenere un'elevata vigilanza per quanto riguarda le email di phishing, soprattutto quando si insiste sull'urgenza. "Questo particolare esca era generalmente poco notevole dato che richiederebbe all'utente di eseguire direttamente un file JavaScript. File di scelta rapida, o file che utilizzano estensioni doppie, avrebbero probabilmente un tasso di successo più elevato."