Vidar: Il pericoloso malware che minaccia le PEC italiane

Redazione RHC : 11 Luglio 2023 12:18

Il CERT-AgID, insieme ai Gestori PEC interessati, ha contrastato una nuova campagna malware massiva, veicolata tramite PEC, che apparentemente sembra essere simile a quelle già osservate per sLoad.

L’attacco, iniziato alle ore 00:02 del 05-07-2023 e terminato due ore dopo, ha sfruttato una serie di PEC precedentemente compromesse per inviare comunicazioni verso altre PEC invitando i destinatari a cliccare sul link presente nel corpo del messaggio al fine di scaricare una finta fattura.

Il file scaricato cliccando sul link “Fattura” è uno ZIP contenente un file VBS denominato FatturaXXXXXXX.vbs che oltre a sfruttare bitsadmin, come già osservato per sLoad, utilizza anche certutil per scaricare un eseguibile (Vidar) da un server remoto.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber "Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime.  Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.  Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.  Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Per tenere traccia del numero di macchine compromesse, lo script invia una richiesta HTTP verso un ulteriore server remoto fornendo l’indirizzo IP e il nome macchina della vittima.

Al fine di occultare le richieste, facendole passare per lecite, ed ottenere informazioni sugli IP da contattare, Vidar effettua connessioni lecite ad un profilo utente Steam e ad un canale Telegram da cui recupera gli indirizzi dei server con cui stabilire una comunicazione.

Gli autori della campagna hanno utilizzato come vettore di infezione un pacchetto di installazione InnoSetup con all’interno una distribuzione Python 3.11 originale ma con una DLL modificata (python311.dll) per eseguire uno shellcode. Per via delle dipendenze necessarie dell’eseguibile e della DLL host, il malware non può avviare l’infezione su macchine Windows 7 e precedenti.

Vidar è un Malware as a Service recente (Q4 2022) appartenente alla famiglia degli infostealer che, una volta preso possesso di un sistema, provvede ad acquisire informazioni da:

• Browser più diffusi: password, cookie, auto completamento e cronologia;
• Portafogli digitali;
• Dati relativi alle carte di credito;
• Autorizzazione Telegram;
• Credenziali di accesso FTP, WINSCP, MAIL.

Gli sviluppatori di Vidar hanno messo a disposizione un canale Telegram in lingua russa, al momento seguito da oltre 3000 utenti, per fornire il supporto e rilasciare aggiornamenti sulle nuove versioni. Vantano inoltre una infrastruttura di C2 solida e a prova di DDoS.

Azioni di contrasto

• Le attività di contrasto sono già state messe in atto con il supporto dei Gestori PEC.
• Gli IoC sono stati diramati attraverso il Feed IoC del CERT-AgID verso i Gestori PEC e le strutture accreditate.

Si invita a prestare sempre attenzione a questo genere di comunicazioni. Nel dubbio, potete inoltrare l’email a [email protected]

Considerazioni per la CTI

Sono presenti numerose similarità con le compagne sLoad viste precedentemente. Questo fatto più che essere un indicatore dello stesso gruppo criminale è un indicatore di una probabile errata categorizzazione da parte di questo CERT di alcune campagne precedenti (quelle per le quali non è stato mai possibile ottenere un sample da analizzare).

Le campagne Vidar usano infatti sempre bitsadmin e drop URL uniche usa e getta (che sono TTP indicatrici di cui parleremo a breve) ma il payload scaricato è un eseguibile PE e non uno script VBS come nel caso di sLoad. Quest’ultimo infatti non ha mai usato eseguibili nativi, sLoad è uno script.

Il download di un eseguibile è stata registrata come un’anomalia dagli analisti di questo CERT ma in assenza di campioni è stato assunto che si trattasse di uno stadio intermedio volto al download e l’esecuzione dello script sLoad. Una volta ottenuto un sample però è stato chiaro che non fosse così.

È ragionevole assumere quindi che le ultime campagne sLoad sono con buona probabilità campagne Vidar. Oltre al cambio di formato di payload, le precedenti campagne etichettate come sLoad registravano, durante la fase di drop, la vittima presso un apposito C2 con un formato URL http[s]://host/<ip>/<nome_computer> e tale tecnica è stata rilevata anche in questa campagna Vidar.

Tornando all’uso di bitsadmin e URL univoci usa e getta, queste sono TTP più specifiche che, insieme all’uso esclusivo di PEC, hanno sempre indicato il gruppo criminale (di cui poco si conosce) dietro sLoad. Non è quindi da escludersi che gli autori siano gli stessi ma che abbiano abbandonato lo script di sLoad (che ricordiamo funzionava principalmente da testa di ponte per ulteriori payload) e iniziato a veicolare direttamente i payload di loro interesse.

Al fine di rendere pubblici i dettagli della campagna si riportano di seguito gli IoC rilevati:

{
    "6100c9f8-8dbd-4ce3-821e-e87928d6bc5b": {
        "event_id": 14761,
        "created_at": "2023-07-05T09:31:28.572282+00:00",
        "updated_at": "2023-07-05T14:15:44.667956+00:00",
        "name": "Campagna Vidar via PEC",
        "description": "",
        "subject": "Mancato pagamento della fattura di [Ragione Sociale]",
        "tlp": "0",
        "campaign_type": "malware",
        "method": "linked",
        "country": "italy",
        "file_type": [
            "zip",
            "vbs"
        ],
        "theme": "Pagamenti",
        "malware": "Vidar",
        "phishing": null,
        "via": "pec",
        "tag": [],
        "ioc_list": {
            "md5": [
                "59a8f13c7584cb4c00658586b8b6d98d",
                "f0aadc6ed02caabdb46c49798e18e811",
                "2bf6ddc2abe23a073214f97644b3b7dd"
            ],
            "sha1": [
                "76f63831c6e4c67b35c80917ff249d8f1509e74c",
                "fa7f01fb2705c3ffcedb2a30146945f0d06bbd38",
                "1d8235fb23afe858e75f2a845fcdbf9a54475d92"
            ],
            "sha256": [
                "a039201075dfcd3f9394d380ec87c94a2898d2ce47501326ad387f12613dda6e",
                "8d3167431ad75dcece76d687e5728830b358d9cf139c1ffbad9745d7b51d3267",
                "fa70210641dbdb01ebd60ff4b1e39efeeaa16d4570ef97f9f20824f5adb7d43c"
            ],
            "imphash": [],
            "domain": [
                "creativevim.com",
                "estoresinc.com"
            ],
            "url": [
                "http://195.123.218.236:8080/data/",
                "https://estoresinc.com/scorp/dkjhe.exe",
                "https://creativevim.com/?r=zmgxabf57sht",
                "http://116.203.14.106/",
                "http://116.202.176.70/",
                "http://5.75.208.184:27016/e7ea1e37142cdab711cad668b60e14ab",
                "http://5.75.208.184:27016/",
                "https://steamcommunity.com/profiles/76561199523054520",
                "https://t.me/game4serv"
            ],
            "ipv4": [
                "195.123.212.32",
                "195.123.218.236",
                "116.203.14.106",
                "5.75.208.184",
                "116.202.176.70"
            ],
            "email": []
        },
        "email_victim": [],
        "ioca_version": "1.0",
        "organization": "cert-agid"
    }
}

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli