TetrisPhantom: Lo Spionaggio Governativo avviene attraverso Unità USB Sicure

Redazione RHC : 27 Ottobre 2023 07:14

I ricercatori di sicurezza di Kaspersky Lab hanno scoperto una nuova campagna chiamata TetrisPhantom, che utilizza unità USB sicure per attaccare i sistemi governativi nei paesi della regione Asia-Pacifico.

Le unità USB sicure archiviano i file in una parte crittografata del dispositivo e vengono utilizzate per trasferire in modo sicuro i dati tra sistemi, anche in un ambiente isolato come ad esempio le reti Air Gap. 

L’accesso alla sezione protetta viene effettuato utilizzando un software specializzato che decrittografa il contenuto in base alla password fornita dall’utente. Uno di questi programmi è UTetris.exe, che si trova nella parte non crittografata dell’unità USB.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber "Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime.  Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.  Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.  Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Gli esperti hanno scoperto versioni infette da Trojan dell’applicazione UTetris distribuite su dispositivi USB sicuri in una campagna durata almeno diversi anni e mirata ai governi della regione Asia-Pacifico. TetrisPhantom utilizza una varietà di strumenti, comandi e componenti malware che indicano che il gruppo dietro a questa minaccia è qualificato e ben finanziato.

Secondo i ricercatori, l’attacco include strumenti e tecniche sofisticati, tra cui:

• offuscamento software di componenti malware basati sulla virtualizzazione;
• comunicazione di basso livello con un’unità USB utilizzando comandi SCSI diretti;
• autoreplicazione tramite unità USB sicure connesse per la distribuzione ad altri sistemi isolati;
• USB che funge da loader di malware su un nuovo computer.

Kaspersky Lab ha inoltre fornito ulteriori dettagli sull’attacco utilizzando l’applicazione Utetris infetta, che inizia eseguendo un payload chiamato AcroShell sul computer bersaglio. Il loader stabilisce un collegamento di comunicazione con il server di Comando e Controllo (C2) e può ricevere ed eseguire payload aggiuntivi per rubare documenti e file riservati, nonché raccogliere informazioni sulle unità USB in uso.

Gli aggressori utilizzano le informazioni raccolte anche per ricercare e sviluppare un altro malware chiamato XMKR e il trojan UTetris.exe. Il modulo XMKR viene distribuito su un computer Windows ed è responsabile dell’infezione delle unità USB protette collegate al sistema per diffondere l’attacco a sistemi potenzialmente isolati.

Le funzionalità XMKR sul dispositivo includono il furto di file per scopi di spionaggio e la scrittura di dati su unità USB. Le informazioni sull’unità USB compromessa vengono quindi inviate al server C2 quando il dispositivo di archiviazione è connesso ad Internet infettato da AcroShell.

Gli esperti hanno confermato che gli attacchi vanno avanti da diversi anni e l’obiettivo principale di TetrisPhantom è lo spionaggio. I ricercatori notano un piccolo numero di reti governative infette, indicando un’operazione mirata.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli