Redazione RHC : 18 Settembre 2025 07:48
Una versione dannosa dell’immagine ISO denominata Servicenow-BNM-Verify.iso è stata identificata su VirusTotal, segnalata come proveniente dalla Malesia con un livello di rilevamento praticamente nullo. All’interno dell’immagine sono presenti quattro file, di cui due visibili e due nascosti, un elemento che suggerisce un confezionamento studiato per ingannare le analisi superficiali.
Tra i file visibili spicca un collegamento di Windows chiamato servicenow-bnm-verify.lnk che avvia PanGpHip.exe, un eseguibile legittimo prodotto da Palo Alto Networks. Nonostante il percorso di destinazione del collegamento punti a una directory inesistente sulle macchine vittima, il file LNK rimanda correttamente alla propria directory, garantendo l’esecuzione di PanGpHip.exe ogni volta che l’ISO viene montata.
Il DLL sideloading è una tecnica usata dagli attaccanti in cui un programma legittimo carica, senza accorgersene, una libreria (DLL) malevola invece di quella autentica. Questo accade perché Windows, nel cercare la DLL richiesta, dà priorità a determinate cartelle (es. quella locale al programma), permettendo al malware di “camuffarsi” come file legittimo.
 Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
All’interno dell’ISO sono state trovate due librerie: la genuina OpenSSL identificata come libeay32.dll e una libreria dannosa chiamata libwaapi.dll, quest’ultima caricata lateralmente dall’eseguibile di Palo Alto e indicata come il fulcro dell’attacco.
Libwaapi.dll esporta una sola funzione contenente codice, wa_api_setup, che avvia il suo flusso operativo nascondendo la finestra della console tramite le API dell’interfaccia utente grafica di Windows.
La routine verifica la presenza di un mutex denominato 47c32025: se il mutex non è presente, viene richiamata una funzione interna, rinominata fn_payload_injection, che procede con l’iniezione del payload in memoria.
La funzione di iniezione calcola l’hash SHA-256 della stringa “rdfY*&689uuaijs” e usa il risultato come chiave RC4 per deoffuscare la stringa “chakra.dll”. Successivamente carica la DLL Windows legittima da C:WindowsSystem32, individua la prima sezione eseguibile, la rende scrivibile, azzera il suo contenuto e decodifica in base64 un payload nascosto memorizzato nella sezione .data della DLL.
Dopo la decrittografia con RC4 viene controllata l’integrità del payload tramite un valore SHA-256 codificato; se il controllo è superato, i permessi di memoria vengono ripristinati e l’esecuzione passa al payload iniettato.
Lo shellcode iniettato decomprime una DLL incorporata usando RtlDecompressBuffer con l’algoritmo LZNT1 a massima compressione. La DLL risultante reca un timestamp fabbricato del 5 maggio 1984 e implementa il comportamento dannoso nell’esportazione DllUnload. L’analisi iniziale indica che il modulo si sgancia in modo da eludere il rilevamento.
Il payload finale entra in un ciclo che trasmette i dati della vittima a logsapi.azurewebsites[.]net api logs, sfruttando Azure Functions come backend di comando e controllo. Viene inviato un payload in formato XML contenente metadati di sistema come architettura, tempo di attività, build del sistema operativo, nomi di computer e utenti, processi in esecuzione e altri dettagli. Sebbene le informazioni siano crittografate in transito, esse possono essere ottenute nella forma pre crittografata, rivelando l’intento dell’autore di profilare accuratamente gli host compromessi e l’abuso di un ambiente serverless scalabile basato su eventi.
Un elemento indicativo di una campagna, secondo un rapporto di Researcher, è l’apparizione su VirusTotal di una DLL simile proveniente da Singapore il 5 settembre 2025. Il deoffuscamento è in corso e mira a rivelare ulteriori capacità del payload; analisi di follow up esploreranno i meccanismi di persistenza e le routine di movimento laterale contenute in questa infrastruttura sofisticata supportata da Azure Functions.
RedazioneSarebbe fantastico avere un agente AI capace di analizzare automaticamente il codice dei nostri progetti, individuare i bug di sicurezza, generare la correzione e pubblicarla subito in produzione. Epp...
La disillusione nei confronti degli incontri online spinge sempre più le donne a cercare intimità emotiva nel mondo virtuale. Sempre più donne si rivolgono all’intelligenza artificiale, ovvero ai...
Una falla critica di 13 anni, nota come RediShell, presente in Redis, permette l’esecuzione di codice remoto (RCE) e offre agli aggressori la possibilità di acquisire il pieno controllo del sistema...
Se n’è parlato molto poco di questo avvenimento, che personalmente reputo strategicamente molto importante e segno di un forte cambiamento nella gestione delle vulnerabilità non documentate in Ita...
Autore: Inva Malaj e Raffaela Crisci 04/10/2025 – Darkforums.st: “303” Rivendica Data Breach di 9 GB su Apple.com Nelle prime ore del 4 ottobre 2025, sul forum underground Darkforums è comparsa...
