Charming Kitten colpisce ancora: scoperta la nuova variante BellaCPP del malware BellaCiao!

Il gruppo di hacker Charming Kitten continua a sviluppare il suo software dannoso, come confermato dalla recente scoperta di una nuova variante di BellaCiao scritta in C++ da parte dei ricercatori di Kaspersky Lab.

Questo campione, chiamato BellaCPP, è stato trovato sullo stesso computer precedentemente infettato dalla versione originale di BellaCiao basata su .NET. Gli esperti hanno scoperto che la nuova versione conservava le funzioni chiave dell’originale, ma perdeva la web shell integrata.

L’analisi del Debug Path (PDB) ha rivelato che BellaCiao conteneva informazioni che potevano identificare il paese e l’organizzazione target. Il nome “MicrosoftAgentServices” si trova spesso nelle stringhe PDB, seguito da suffissi numerici per denotare le versioni. Ciò indica che gli sviluppatori hanno lavorato diligentemente per migliorare la funzionalità e rendere gli attacchi più efficaci.

BellaCPP, registrato come file DLL denominato “adhapl.dll“, presenta un comportamento simile alle versioni precedenti. Il programma utilizza la crittografia XOR per decodificare le stringhe, esegue funzioni DLL e genera domini utilizzando un modello specifico. Se i risultati della query DNS corrispondono all’indirizzo IP codificato, il malware esegue i comandi, inclusa la configurazione di tunnel SSH.

Un comportamento simile è stato osservato nelle versioni precedenti di BellaCiao, tuttavia BellaCPP utilizza un meccanismo di interazione semplificato senza dipendere dalla web shell. Si ritiene che il file mancante “D3D12_1core.dll” sia coinvolto nella creazione di tunnel SSH, il che aumenta la persistenza degli attacchi.

Sulla base della somiglianza dei meccanismi e dell’uso di domini noti, gli esperti associano BellaCPP a Charming Kitten con un alto grado di sicurezza. Inoltre, la scoperta sia del BellaCPP che del BellaCiao originale sullo stesso dispositivo conferma la strategia generale di utilizzare campioni modificati per aggirare i sistemi di sicurezza.

Questo caso evidenzia l’importanza di un’analisi approfondita delle reti infette, poiché gli aggressori stanno sviluppando attivamente nuove versioni di software che non vengono rilevate dalle soluzioni di sicurezza standard.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.