Il gruppo APT iraniano OilRig ora utilizza una nuova backdoor

Alla fine di aprile 2022, i ricercatori di sicurezza di Fortinet e Malwarebytes hanno scoperto un documento Excel dannoso inviato dal gruppo di hacker OilRig (noto anche come APT34, Helix Kitten e Cobalt Gypsy) a un diplomatico giordano per iniettare una nuova backdoor chiamata Saitama.

L’e-mail di phishing è arrivata da un hacker che simulava un dipendente del dipartimento IT del ministero degli Affari esteri. L’attacco è stato scoperto dopo che il destinatario ha inoltrato l’e-mail a un vero dipendente IT per verificare l’autenticità dell’e-mail.

“Come molti di questi attacchi, l’e-mail conteneva un allegato dannoso”, ha affermato il ricercatore Fortinet Fred Gutierrez . “Tuttavia, la minaccia collegata non era un normale malware. Al contrario, aveva le capacità e i metodi comunemente associati agli attacchi mirati (APT).”

Secondo Fortinet, la macro utilizza WMI (Windows management instrumentation) per interrogare il suo server di comando e controllo (C&C) ed è in grado di produrre tre file: un file PE dannoso, un file di configurazione e un file DLL legittimo. 

Scritta in .NET, la backdoor di Saitama utilizza il protocollo DNS per comunicare con C&C ed esfiltrare i dati, che è il metodo di comunicazione più nascosto. Vengono utilizzati anche metodi per mascherare i pacchetti dannosi nel traffico legittimo.

Malwarebytes ha anche pubblicato un report separato, rilevando che l’intero flusso del programma è esplicitamente definito come una macchina a stati. In parole semplici, la macchina cambierà il suo stato a seconda del comando inviato a ciascuno stato.

Gli stati includono:

• Lo stato iniziale in cui la backdoor riceve il comando di avvio;
• Stato “Live”, in cui la backdoor si collega al server C&C, in attesa di un comando;
• Modalità risparmio;
• Lo stato di ricezione, in cui la backdoor accetta i comandi dal server C&C;
• Lo stato operativo in cui la backdoor esegue i comandi;
• Stato di invio in cui i risultati dell’esecuzione del comando vengono inviati agli aggressori.

I ricercatori di Malwarebytes ritengono che la backdoor prenda di mira una vittima specifica e che l’attaccante abbia una certa conoscenza dell’infrastruttura interna dei sistemi del bersaglio.

APT35. Un gruppo ransomware iraniano è stato collegato a una serie di attacchi ransomware contro organizzazioni in Israele, Stati Uniti, Europa e Australia.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research