“Unfurling Hemlock” infetta i sistemi con una bomba a grappolo di malware

Un attore di minacce ribattezzato con il nome di Unfurling Hemlock è stato osservato mentre infettava i sistemi di destinazione simultaneamente con numerosi e diversi malware, in campagne che hanno distribuito centinaia di migliaia di file dannosi.

Sono stati osservati in natura almeno 50.000 file che condividono queste caratteristiche in tutto il mondo, con campioni di malware correlati alla campagna che raggiungono centinaia di migliaia“, è il commento di Ettore Garcia di Outpost24.

Il metodo di attacco

Questo metodo di attacco è stato descritto dai ricercatori di sicurezza KrakenLabs di Outpost24, il team di Cyber ​​Threat Intelligence che ha scoperto l’operazione, come una bomba a grappolo di malware, che permette all’attaccante di diffondere da un singolo malware altri payload all’interno del sistema compromesso. Tra i tipi di malware diffusi ci sarebbero: Redline, Mystic Stealer, RisePro, Amadey, SmokeLoader.

La catena d’infezione

La catena d’infezione inizia con l’apertura di un file un file PE a 32 bit “WEXTRACT.EXE .MUI”, il quale viene inviato ai dispositivi target attraverso e-mail di phishing e tramite l’utilizzo di loader.

Fonte Outpost24

Il file eseguibile malevolo contiene al suo interno diversi livelli di file cabinet compressi ognuno dei quali nasconde una versione malware insieme a un altro file compresso, creando una struttura nidificata che rende l’analisi più complicata. KrakenLabs avrebbe rilevato tra quattro e sette fasi nidificate.

Fonte Outpost24

Obiettivi

Dai campioni analizzati, i ricercatori hanno dedotto che oltre la metà di tutti gli attacchi Unfurling Hemlock hanno preso di mira sistemi negli Stati Uniti (50,8%) mentre sono state osservate attività anche in Germania (7,8%), Russia (6,3%), Turchia (6,3%), India (3,9%) e Canada (2,8%).

Attribuzione e motivazioni

Sulla base delle prove scoperte durante l’indagine (la presenza della lingua russa in alcuni campioni e l’uso dell’Autonomous System 203727, correlato al servizio di hosting diffuso tra le bande di criminali informatici dell’Europa dell’Est) i ricercatori ritengono che Unfurling Hemlock abbia sede in un paese dell’Europa orientale.

Il rapporto di KrakenLabs non approfondisce le attività post-compromissione, ma suppone che Unfurling Hemlock venda informazioni e l’accesso iniziale ad altri autori di minacce.

È quasi certo che la motivazione principale del gruppo fosse il guadagno finanziario. I fattori che ci hanno portato a questa conclusione sono la natura del malware rilasciato (principalmente loader e stealer generici), la distribuzione massicciamente diffusa e il fatto che Unfurling Hemlock stava molto probabilmente diffondendo malware da altri gruppi, probabilmente in cambio di una commissione.

Consigli

Poiché i malware rilasciati in questa campagna non hanno un alto grado di sofisticazione di offuscamento e anti-analisi e sono ben documentati con firme note, Outpost24 consiglia agli utenti finali di applicare sempre il buon senso evitando di scaricare file da siti ed e-mail sospetti e di utilizzare strumenti antivirus mantenendoli aggiornati.

Su Salvatore Lombardo 258 Articoli
Ingegnere elettronico e socio Clusit, da qualche tempo, sposando il principio dell’educazione consapevole, scrive online per diversi magazine sull’Information Security. È inoltre autore del libro “La Gestione della Cyber Security nella Pubblica Amministrazione”. “Education improves Awareness” è il suo motto.